Sécurité informatique

SECURINFOS.INFO - Bulletins de sécurité informatique, Alertes et Protection

Simple Invoices module/view : Vulnérabilité d'Inclusion de Fichier Local

05/02/2007 15H25
Référence Secunia : SA24040 
Date de publication : 2007-02-05

Risque : Moyennement Critique. Niveau 3 sur 5.
Impact : Exposition de données sensibles
Lieu : A distance


Solutions :
Correctif de l'éditeur


Produit :
Simple Invoices

Description :
Une vulnérabilité a été rapportée dans Simple Invoices, qui pourrait être exploitée par des personnes malintentionnées pour divulguer des informations sensibles.

L'entrée passée au paramètre "module" et "view" dans controller.php n'est pas vérifiée correctement avant d'être utilisée pour inclure des fichiers. Cela pourrait être exploité pour inclure des fichiers arbitraires depuis des ressources locales via des attaques pour traverser les répertoires.

L'exploitation de ce problème est possible seulement si "register_globals" est actif et "magic_quotes_gpc" est désactivé.


Solutions :
Mettre à jour en version 20070202.


Vulnérabilité découverte par :

Rapportée par l'éditeur.

Référence :
http://www.simpleinvoices.org/index.php?news=25




Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.