OneCMS: Einbindung lokaler PHP-Dateien möglich
Über eine Sicherheitslücke im Content Management System OneCMS können Angreifer beliebige lokale PHP-Dateien einbinden und zur Ausführung bringen.
Nach einer Meldung von Secunia tritt die Sicherheitslücke in Version 2.5 von OneCMS auf. Andere Versionen sind unter Umständen ebenfalls betroffen. Die Schwachstelle entsteht durch die mangelhafte Überprüfung von Eingaben, die an den Parameter „load“ in der Datei „install_mod.php“ übergeben werden. Mit Hilfe eines Webbrowsers, der keinen Weiterleitungs-(Redirect)-Anforderungen folgt, können Angreifer beliebigen PHP-Code in betroffene Systeme einspeisen. Ein Patch ist bisher nicht bekannt. (vgw)