漏洞信息详情

YaBB远程未授权管理命令执行漏洞

• CNNVD编号：CNNVD-200412-634
• 危害等级： 超危
  
• CVE编号： CVE-2004-2403
• 漏洞类型： 访问验证错误
• 发布时间： 2004-09-17
• 威胁类型： 远程
• 更新时间： 2005-10-20
• 厂        商： yabb
• 漏洞来源： GulfTech Security※...

漏洞简介

YaBB是美国YaBB团队的一款基于PHP/MySQL的论坛程序。 YaBB没有正确对管理命令访问进行验证，远程攻击者可以利用这个漏洞执行删除等管理命令操作。 攻击者可以构建恶意URI连接或把恶意URI嵌入到IMG标记里，并且URI中包含恶意的YaBB管理命令，不仔细的论坛管理员在查看包含此IMG标记的帖子时，可导致这些恶意命令被执行，应用程序遭到破坏。

漏洞公告

厂商补丁： YaBB ---- 目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.yabb.com/

参考网址

来源: XF 名称: yabb-administrative-bypass(17453) 链接:http://xforce.iss.net/xforce/xfdb/17453 来源: BID 名称: 11214 链接:http://www.securityfocus.com/bid/11214 来源: OSVDB 名称: 10243 链接:http://www.osvdb.org/10243 来源: SECUNIA 名称: 12593 链接:http://secunia.com/advisories/12593 来源: BUGTRAQ 名称: 20040916 RE: www.proboards.com / YaBB XSS Vuln 链接:http://archives.neohapsis.com/archives/bugtraq/2004-09/0227.HTML 来源：NSFOCUS 名称：6938 链接：http://www.nsfocus.net/vulndb/6938

受影响实体

• Yabb Yabb:1.40  
• Yabb Yabb:1.41  
• Yabb Yabb:1_gold_-_sp_1  
• Yabb Yabb:1_gold_-_sp_1.2  
• Yabb Yabb:1_gold_-_sp_1.3  

补丁

暂无