BUGTRAQ ID: 24852
CNCAN ID:CNCAN-2007071105
Mike's World Mail Machine是一款WEB EMAIL服务程序。
Mike's World Mail Machine不正确过滤用户提交的URI数据,远程攻击者可以利用漏洞以WEB进程权限查看系统文件内容。
问题是mailmachine.cgi脚本中的open()函数不正确过滤用户提交的输入,提交包含多个"../"字符作为参数数据,可绕过WEB ROOT限制,以WEB进程权限查看系统文件内容。
Mail Machine Mail Machine 3.989
Mail Machine Mail Machine 3.988
Mail Machine Mail Machine 3.987
Mail Machine Mail Machine 3.985
Mail Machine Mail Machine 3.980
目前没有解决方案提供:
<a href="http://www.mikesworld.net/mailmachine.shtml" target="_blank">http://www.mikesworld.net/mailmachine.shtml</a>
暂无评论