首页 > 网络安全

Seagull PHP Framework optimizer.php的泄露漏洞

番茄系统家园 · 2022-03-10 10:32:07

受影响系统：

Seagull PHP Framework 0.6.3

描述：

Seagull是一个PHP编译框架。

Seagull在处理用户请求时存在输入验证漏洞，远程攻击者可能利用此漏洞获取文件信息。

Seagull PHP Framework的www/optimizer.php文件中没有正确地验证对files参数的输入：

optimizer.php，61行：

// get files and it's mod time
if (!empty($_GET['files'])) {
$filesString = $_GET['files'];
$aFiles = explode(',', $_GET['files']);
foreach ($aFiles as $fileName) {
if (is_file($jsFile = dirname(__FILE__) . '/' . $fileName)) {
$this->aFiles[] = $jsFile;
$lastMod = max($lastMod, filemtime($jsFile));

如果远程攻击者提交了恶意请求的话，就可以执行目录遍历攻击，显示任意文件的内容。

厂商补丁：

目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://seagullproject.org

免责声明：凡标注转载/编译字样内容并非本站原创，转载目的在于传递更多信息，并不代表本网赞同其观点和对其真实性负责。如果你觉得本文好，欢迎推荐给朋友阅读；本文链接： https://m.nndssk.com/wlaq/172118awX9Ic.html。