Freeway 多个目录遍历漏洞

漏洞信息详情

Freeway 多个目录遍历漏洞

CNNVD编号：CNNVD-200808-296
危害等级：中危-->
危害等级：中危
CVE编号： CVE-2008-3770
漏洞类型：路径遍历
发布时间： 2008-08-22
威胁类型：远程
更新时间： 2009-01-29
厂商： openfreeway
漏洞来源： Digital Security R...

漏洞简介

Freeway是一款开源的电子商务平台系统。

Freeway 1.4.1.171版本存在多个目录遍历漏洞。

当register_globals被激活时，远程攻击者可以借助语言参数中的\"..\"，放入和运行任意的本地文件。

(1) includes/events_application_top.php(2)english/account.php, (3) french/account.php(4) french/account_newsletters.php in includes/languages/(5)includes/modules/faqdesk/faqdesk_article_require.php;(6)includes/modules/newsdesk/newsdesk_article_require.php(7) card1.php(8) loginbox.php(9)whos_online.php in templates/Freeway/boxes (10) templates/Freeway/mainpage_modules/mainpage.php均存在该漏洞。

漏洞公告

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

http://www.openfreeway.org/download.html

参考网址

来源: XF

名称: freeway-language-directory-traversal(45037)

链接:http://xforce.iss.net/xforce/xfdb/45037

来源: BID

名称: 30731

链接:http://www.securityfocus.com/bid/30731

来源: BUGTRAQ

名称: 20080818 [DSECRG-08-036] Multiple Security Vulnerabilities in Freeway eCommerce 1.4.1.171

链接:http://www.securityfocus.com/archive/1/archive/1/495549/100/0/threaded

来源: www.openfreeway.org

链接:http://www.openfreeway.org/download/change-log.html

来源: SREASON

名称: 4181

链接:http://securityreason.com/securityalert/4181

来源: SECUNIA

名称: 31475

链接:http://secunia.com/advisories/31475

受影响实体

Openfreeway Freeway:1.4.1.171

补丁

暂无

正文

Freeway 多个目录遍历漏洞

漏洞信息详情