Yxbbs 是由Y网所开发的一套开源免费的社区论坛系统程序,采用asp+Access(SQL)的技术.
ViewFile.Asp中对filename参数没有进行验证和过滤处理,存在严重的安全问题
默认数据库是asa后缀,里面添加了 <% loop <% 的防下载代码。 直接访问这个数据库文件,会出现错误。
导致任意文件下载漏洞对它无效,也就是说,无法下载asa后缀的数据库。
假如管理员更改了他的后缀,例如改成.mdb,这样是可以下载的。大家可以自己测试一下。
Ver 3.1.0
厂商补丁:
Yxbbs
-------
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:
http://www.yimxu.com/
暂无评论