CVE-2006-3136
KrytyczneStreszczenie
Wielokrotne podatności na zdalne włączenie plików w PHP w Nucleus 3.23 pozwalają zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez URL w parametrze DIR_LIBS w pliku path/action.php oraz w plikach w path/nucleus, w tym media.php, /xmlrpc/server.php i /xmlrpc/api_metaweblog.inc.php.
Ocena ryzyka
Atakujący mogą wykorzystać te podatności do zdalnego wykonania kodu, co może prowadzić do przejęcia kontroli nad systemem oraz dostępu do wrażliwych danych.
Rekomendacja
Zaleca się aktualizację Nucleus do najnowszej wersji oraz przegląd konfiguracji, aby zminimalizować ryzyko związane z włączeniem plików z zewnętrznych źródeł.
Oryginalny opis (angielski, źródło NVD)
Multiple PHP remote file inclusion vulnerabilities in Nucleus 3.23 allow remote attackers to execute arbitrary PHP code via a URL the DIR_LIBS parameter in (1) path/action.php, and to files in path/nucleus including (2) media.php, (3) /xmlrpc/server.php, and (4) /xmlrpc/api_metaweblog.inc.php. NOTE: this is a similar vulnerability to CVE-2006-2583. NOTE: this issue has been disputed by third parties, who state that the DIR_LIBS parameter is defined in an include file before being used