CVE:CVE-2015-7984
CNNVD:CNNVD-201511-334
Horde、Horde Groupware和Horde Groupware Webmail Edition都是美国Horde公司产品。Horde是一套基于PHP的Web应用框架。Horde Groupware是一款免费的基于协作套件的浏览器。Horde Groupware Webmail Edition是一款免费的基于通信套件的企业浏览器。
多款Horde产品中存在跨站请求伪造漏洞，该漏洞源于admin/cmdshell.php脚本没有充分过滤‘cmd’参数；admin/sqlshell.php脚本没有充分过滤‘sql’参数；admin/phpshell.php脚本没有充分过滤‘php’参数。远程攻击者可利用该漏洞执行任意命令、SQL查询或PHP代码。以下产品及版本受到影响：Horde 5.2.8之前版本，Horde Groupware 5.2.11之前版本，Horde Groupware Webmail Edition 5.2.11之前版本。
solution:Upgrade horde groupware to a higher version than 5.2.11,and avoid the version [5.0.0,5.2.11); Upgrade horde horde_application_framework to a higher version than 5.2.8,and avoid the version [5.0.0,5.2.8); Upgrade debian debian_linux to a higher version than 8.0,and avoid the version 8.0