CVE:CVE-2005-4146
CNNVD:CNNVD-200512-193
AOL Lyris ListManager（LM）是美国在线（AOL）公司的一套用于管理邮件列表，创建邮件、新闻组和讨论组的电子邮件营销软件。
ListManager的TCLHTTPd状态模块中存在信息泄露漏洞。
一些ListManager版本允许请求TCLHTTPd的状态模块(/status/)，然后该模块就会返回有关服务器配置的详细信息。此外，ListManager的TCLHTTPd服务可以使用.tml文件存储服务端TCL代码。攻击者可以通过在请求后附加url编码的空字符(/read/.tml%00)来浏览任意TML脚本的源码。服务器可能会请求认证，但攻击者可以指定以"@"字符结尾的用户名和伪造口令来绕过认证。
solution:Upgrade lyris_technologies_inc listmanager to a higher version than 5.0,6.0,7.0,8.0,8.8a,and avoid the version 5.0,6.0,7.0,8.0,8.8a