遠端主機正在執行 phpWebFTP，這是一個以 PHP 編寫的 Web 型 FTP 用戶端。 

遠端主機上安裝的 phpWebFTP 版本未清理「index.php」指令碼中「language」參數的使用者輸入內容，便將其用於 PHP 的「include()」函式。未經驗證的攻擊者或可利用此問題，在遠端主機上檢視任意檔案，或執行任意 PHP 程式碼，但這需要具有 Web 伺服器使用者 ID 的權限。 

請注意，若要成功利用此問題，需要停用 PHP 的「magic_quotes_gpc」設定，或是攻擊者能夠編輯遠端主機上的檔案。

偵測

phpWebFTP index.php language 參數本機檔案引入

medium Nessus Plugin ID 21238

找不到變更記錄