在向TomatoCMS添加新文章时没有对所上传的文件执行重复的验证，拥有Add new article、Upload file to server和Browse uploaded files权限的用户可以向服务器上传并执行恶意文件。

 

TomatoCMS没有正确地过滤提交给index.php/admin/news/article/list页面的keyword和article-id参数、提交给index.php/admin/multimedia/set/list页面的keyword参数、提交给index.php/admin/multimedia/file/list页面的keyword和fileId参数、提交给index.php/admin/ad/client/list页面的name、email和address参数。远程攻击者可以通过提交恶意请求执行跨站脚本攻击，导致在用户浏览器会话中执行任意HTML和脚本代码。