OrganicPHP PHP-Affiliate Details.PHP隐藏字段验证可绕过漏洞发布时间：2002-08-21 更新时间：2002-08-21 严重程度：中 威胁程度：其它 错误类型：访问验证错误 利用方式：服务器模式 BUGTRAQ ID：5482 受影响系统 OrganicPHP PHP-Affiliate 1.0详细描述 PHP-Affiliate是开放源代码的WEB站点信息加入程序。可使用在多种操作系统下。 PHP-Affiliate在编辑参考信息的时候，details.php脚本使用隐藏的字段进行修改，攻击者可以修改用户ID字段来修改站点的相关信息。 测试代码 无 解决方案 在details2.php脚本中进行如下判断： if (session_is_registered("valid_user")) 然后使用如下代码升级数据库： WHERE refid = '$HTTP_SESSION_VARS[valid_user]' 相关信息 MOD <br014c1155@blueyonder.co.uk>. 参考：http://online.securityfocus.com/archive/1/287590 |
