PHPAuction未授权远程管理接口访问漏洞 CVE-2002-0995 CNNVD-200210-170
7.5
AV
AC
AU
C
I
A
发布：
2002-10-04
修订：
2008-09-05
PhpAuction是一款免费开放源代码的基于WEB的拍卖系统，使用PHP+MYSQL实现。 PHPAuction中的login.php对用户提交的URL请求缺少正确判断，远程攻击者可以利用这个漏洞建立管理员权限的用户帐户。 PHPAuction中的/admin/login.php脚本只检查$action是否设置为\"insert\"，如果是的情况下，就直接转向在管理员用户表中插入用户名和密码操作，攻击者可以提交非法URL请求导致在系统中增加具有管理员权限的帐户。
漏洞利用/PoC
当前有2条漏洞利用/PoC
受影响的平台与产品
当前有4条受影响产品信息
