osCommerce file_manager.php 任意 PHP 程式碼插入 (入侵檢查)
high Nessus Plugin ID 42351
語系：
概要
遠端 Web 伺服器上有一個 PHP 指令碼可能會遭濫用以執行任意 PHP 程式碼。說明
遠端 Web 伺服器上主控的 osCommerce 版本允許遠端攻擊者在未經驗證的情況下存取 Admin filemanager 公用程式。此外，此公用程式似乎允許將任意 PHP 程式碼儲存在 web 伺服器文件目錄下的檔案中，然後根據 web 伺服器操作的權限執行。解決方案
透過為其重新命名和/或定義存取控制，來保護 osCommerce「admin」資料夾。此外，請考慮移除「file_manager.php」指令碼。
另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 42351
檔案名稱: oscommerce_filemanager_cmd_injection.nasl
版本: 1.13
類型: remote
系列: CGI abuses
已發布: 2009/11/3
已更新: 2022/6/1
組態: 啟用徹底檢查
支援的感應器: Nessus
風險資訊
CVSS v2
風險因素: High
基本分數: 7.5
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS v3
風險因素: High
基本分數: 8.8
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
弱點資訊
必要的 KB 項目: www/oscommerce
排除在外的 KB 項目: Settings/disable_cgi_scanning
可被惡意程式利用: true
可輕鬆利用: Exploits are available
由 Nessus 利用: true
弱點發布日期: 2009/8/31