Últimos Cambios
Blog personal: El hilo del laberinto
|
|
|
Últimos Cambios |
|
Blog personal: El hilo del laberinto
|
|
|
Última Actualización: 9 de Febrero de 2.001 - Viernes
El sistema webmail TWIG es vulnerable a un ataque que permite la ejecución en el servidor de secuencias de comandos PHP arbitrarias.
TWIG, anteriormente conocido como Muppet, es un sistema de webmail escrito en PHP. Las versiones 2.6.0 tienen un problema de seguridad que permite que cualquier usuario, sin ningún tipo de acceso o privilegio especial, pueda ejecutar código PHP arbitrario.
El problema se debe a que el usuario puede introducir parámetros en la URL que el PHP interpretará como variables internas de código PHP. Si dichas variables no son inicializadas explícitamente en el código, algo permitido en PHP, el atacante puede introducir en ellas cualquier valor.
Se trata de un problema de diseño de PHP (polución del espacio de nombres), que los scripts escritos en dicho lenguaje deben contemplar de forma explícita.
La solución consiste en actualizar TWIG a la versión 2.6.0 o superior.
Más información:
Más información sobre los OpenBadges
Donación BitCoin: 19niBN42ac2pqDQFx6GJZxry2JQSFvwAfS
