FrSIRT - MySQLNewsEngine "newsenginedir" Parameter Remote File Inclusion Vulnerability / Exploit

セキュリティ

MySQLのエンジンに脆弱性？

Une vulnerabilite a ete identifiee dans MySQLNewsEngine, elle pourrait etre exploitee par un attaquant distant afin de compromettre un serveur web vulnerable. Ce probleme resulte d'une erreur d'inclusion presente au niveau du script "affichearticles.php3" qui ne filtre pas le parametre "newsenginedir", ce qui pourrait etre exploite afin d'inclure un fichier malicieux et executer des commandes arbitraires avec les privileges du serveur web.