xampp mysql 注入_XAMPP 任意文件写入漏洞(CVE-2013-2586)

发布日期：2013-09-26

更新日期：2013-10-08

受影响系统：

xampp xampp 1.8.1

描述：

--------------------------------------------------------------------------------

BUGTRAQ  ID: 62665

CVE ID: CVE-2013-2586

XAMPP是跨平台开源Web服务器解决方案软件包，主要包括Apache HTTP Server, MySQL数据库, 以及用PHP及Perl编程语言编写的脚本的解释程序。

XAMPP 1.8.1的"/xampp/lang.php"页面存在注入漏洞，未授权用户可在本地磁盘内写入，本地文件 "lang.tmp"可以从远程机器上进行修改，可在目标用户浏览器中执行任意HTML或脚本代码，窃取用户凭证之类的敏感信息。

链接：http://seclists.org/fulldisclosure/2013/Sep/167

*>

测试方法：

--------------------------------------------------------------------------------

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

http://www.example.com/xampp/lang.php?WriteIntoLocalDisk

建议：

--------------------------------------------------------------------------------

厂商补丁：

xampp

-----

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：