Logahead是一款开源的blog软件,具有tagging、拖放等功能。
Logahead在处理用户请求时存在输入验证漏洞,远程攻击者可能利用此漏洞在服务器上以Web进程权限执行任意命令。
Logahead的extras/plugins/widged/_widged.php脚本中存在认证绕过漏洞,允许未经认证的攻击者向服务器上传文件。此外,该脚本还没有验证上传文件的扩展名,允许攻击者上传有任意扩展名(如.php)的文件并在服务器上执行任意PHP代码。
Logahead Logahead UNU edition 1.0
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:
(<a href="http://www.logahead.com/" target="_blank">http://www.logahead.com/</a>
暂无评论