phpBB admin_words.php多个安全漏洞
涉及程序：
phpBB
描述：
phpBB admin_words.php存在多个安全漏洞
详细：
phpBB2是一种可使用在多种Unix和Linux操作系统下，支持多种数据库系统，由PHP编写的WEB论坛应用程序。phpBB2包含的"admin_words.php"脚本对用户提交的数据缺少充分过滤，可提交恶意的SQL命令或脚本代码作为'id'参数，导致更改数据库信息或恶意脚本在用户浏览器上执行，远程攻击者可以利用这个漏洞进行跨站脚本执行或SQL注入攻击，可能获得用户敏感数据信息。
受影响系统：
phpBB Group phpBB 2.0.6 c
攻击方法：
Janek Vind （come2waraxe@yahoo.com）提供了如下测试方法：
http://www.example.com/phpbb206c/admin/admin_words.php?mode=edit&id=-1%20UNION%20ALL%20SELECT%20null/*
http://www.example.com/phpbb206c/admin/admin_words.php?mode=edit&id=1/*"><script>alert(document.cookie);</script
解决方案：
厂商目前还没有提供补丁或者升级程序，建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.phpbb.com/
附加信息：
无
推荐
评论(0条)
