phpFox ‘ajax.php’ 远程命令执行漏洞

CVE编号

CVE-2012-1300

利用情况

暂无

补丁情况

N/A

披露时间

2012-03-27

漏洞描述

phpfox是国外的一款社区软件，具有论坛，博客，相册，音乐，投票，问答，视频等功能。/include/library/phpfox/module/module.class.php脚本中定义的Phpfox_Module::getComponent()方法存在漏洞，由于对$sClass参数缺少过滤，可通过$_POST[core][call](或$_POST[phpfox][call] in v2)传递给/static/ajax.php的输入，会以$sClass参数传递给getComponent()方法而通过eval()调用执行任意PHP代码。

解决建议

phpFox 3.0.1 Build 3已经修复此漏洞，建议用户下载使用：http://www.phpfox.com/

参考链接
http://www.phpfox.com/blog/v2-1-0-build-3-v3-0-1-build-3-released/

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com