OrangeHRM “path”文件包含漏洞

OrangeHRM “path”文件包含漏洞

发布日期：2011-04-26
更新日期：2011-04-26

受影响系统：
OrangeHRM OrangeHRM 2.x
描述：
--------------------------------------------------------------------------------
OrangeHRM是一套全面的人力资源管理(HRM)系统。它实现了任何企业都需要的一些重要HR功能。

OrangeHRM在实现上存在安全漏洞，恶意攻击者可利用此漏洞控制受影响系统。

传递到plugins/PluginController.php中的"path"参数的输入在用于包含文件之前没有正确验证，导致包含本地或外部资源的任意文件。

<*来源：AutoSec Tools
 
  链接：http://www.autosectools.com/Advisory/OrangeHRM-2.6.3-Local-File-Inclusion-189
*>

建议：
--------------------------------------------------------------------------------
厂商补丁：

OrangeHRM
---------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

www.orangehrm.com/