当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-049723

漏洞标题:我爱纽约网PHPCMS头像上传漏洞

相关厂商:我爱纽约网

漏洞作者: iwooyun

提交时间:2014-01-24 17:24

修复时间:2014-03-10 17:25

公开时间:2014-03-10 17:25

漏洞类型:文件上传导致任意代码执行

危害等级:高

自评Rank:10

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-01-24: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-03-10: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

我爱纽约网phpcms没有关闭用户头像上传功能,导致可上传任意文件,执行任意代码

详细说明:

phpcms头像上传漏洞,可以BS抓包改包,上传一句话木马
最普通的上传漏洞了

2.png


传了一句话和phpspy做练习,第一次完整的入侵练习,没做任何破坏,请站长重视下网站安全,号称是纽约最大的中文分类信息站,还是会导致不少人的敏感信息泄露的

漏洞证明:

库子:

.png


shell:

3.png


菜刀:

4.png


修复方案:

关闭头像上传或升级phpcms

版权声明:转载请注明来源 iwooyun@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价:

评论