添加时间:
2005-08-18

系统编号:
WAVDB-00524

影响版本:
Drupal 4.5-4.6.1

程序介绍:

Drupal是很著名的开源CMS，仿照了blog程序模式，但比普通的blog更灵活，可以做各种网站的内容管理平台。

漏洞分析:

Drupal中的漏洞可能允许执行任意PHP代码，成功利用这个漏洞的攻击者可以在有漏洞的系统中执行任意PHP代码。
起因是没有正确的过滤用户输入，应用程序的过滤机制不能正确的过滤用户对comments和postings的输入。

解决方案:
如果您不能立刻安装补丁或者升级，建议您采取以下措施以降低威胁：
* 禁止公开评论和张贴。

厂商补丁：
Drupal
------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载Drupal 4.6.2或4.5.4：
http://drupal.org/files/projects/drupal-4.5.4.tar.gz
http://drupal.org/files/projects/drupal-4.6.2.tar.gz

信息来源:
<*来源：Uwe Hermann （uwe@hermann-uwe.de）
        Kuba Zygmunt
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=112015287827452&w=2
*>