Ravenphpscripts Raven Web Services RavenNuke ‘images/captcha.php’代码注入漏洞

CVE编号

CVE-2009-0674

利用情况

暂无

补丁情况

N/A

披露时间

2009-02-23

漏洞描述

images/captcha.php in Raven Web Services RavenNuke 2.30, when register_globals and display_errors are enabled, allows remote attackers to determine the existence of local files by sending requests with full pathnames in the aFonts array parameter, and then observing the error messages, which differ between existing and nonexistent pathnames.

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
http://ravenphpscripts.com/postt17156.html
http://www.securityfocus.com/archive/1/500988/100/0/threaded
http://www.securityfocus.com/bid/33787
http://www.waraxe.us/advisory-72.html
https://exchange.xforce.ibmcloud.com/vulnerabilities/48792
https://exchange.xforce.ibmcloud.com/vulnerabilities/48983
https://www.exploit-db.com/exploits/8068

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	ravenphpscripts	ravennuke	2.30	-

CVSS3评分 6.0

• 攻击路径 网络
• 攻击复杂度 N/A
• 权限要求 一次
• 影响范围 N/A
• 用户交互 无
• 可用性 部分地
• 保密性 部分地
• 完整性 部分地

AV:N/AC:M/Au:S/C:P/I:P/A:P CWE-ID 漏洞类型 CWE-94 对生成代码的控制不恰当（代码注入）