标题: Simple PHP Blog伪造的跨站请求 [打印本页]

---

作者: pioneer     时间: 2007-10-25 11:54    标题: Simple PHP Blog伪造的跨站请求

来源

secunia.com

软件名

Simple PHP Blog 0.x

描述

这可恶意进行伪造的跨站请求攻击

应用程序允许用户通过没有执行任何有效检查的HTTP请求来执行特定操作。这可导致例如删除发表批注的有恶意图片链接的板块和链接，还可诱使一个登陆的管理员浏览批注

成功执行需要在setup.php中的"Tags to Allow in Comments"中切换"[img]"

version 0.5.1中已经确认，其它版本可能也受到影响

解决方案

不要浏览不可信网站或在登录到应用程序时访问批注。在"Tags to Allow in Comments"中不要切换"[img]"。

---

欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn