CVE:CVE-2008-4437
CNNVD:CNNVD-200810-054
Bugzilla中的importxml.pl存在目录遍历漏洞,在--attach_path可用时,远程攻击者可以通过包含一个数据元素的XML文件中的一个.. (dot dot)来读取任意文件。
solution:Upgrade mozilla bugzilla to a higher version than 2.4,2.6,2.8,2.9,2.22.1,2.22.2,2.22.3,2.22.4,2.23,2.23.1,2.23.2,2.23.3,2.23.4,3.0.2,3.1.1,3.1.2,3.1.3,3.1.4,and avoid the version 2.4,2.6,2.8,2.9,2.22.1,2.22.2,2.22.3,2.22.4,2.23,2.23.1,2.23.2,2.23.3,2.23.4,3.0.2,3.1.1,3.1.2,3.1.3,3.1.4