CVE-2006-6975
CriticalSummary
Podatność CVE-2006-6975 dotyczy zdalnego włączenia pliku w PHP w pliku centipaid_class.php w CentiPaid 1.4.3. Umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez URL w parametrze class_pwd.
Risk Assessment
Zagrożenie dla organizacji polega na możliwości zdalnego wykonania kodu, co może prowadzić do przejęcia kontroli nad systemem. Mimo że problem został zakwestionowany przez CVE i inne strony trzecie, ryzyko pozostaje istotne.
Recommendation
Zaleca się aktualizację do najnowszej wersji CentiPaid oraz monitorowanie parametrów wejściowych w celu zminimalizowania ryzyka związanego z tą podatnością.
Original NVD description (English source)
PHP remote file inclusion vulnerability in centipaid_class.php in CentiPaid 1.4.3 allows remote attackers to execute arbitrary code via a URL in the class_pwd parameter. NOTE: this issue has been disputed by CVE and multiple third parties, who state that $class_pwd is set to a static value before the relevant include statement