CVE:CVE-2004-0128
CNNVD:CNNVD-200403-043
phpGedView是一款开放源代码系统，可在线查看Gedcom信息。
phpGedView [GED_File]_conf.php文件对用户提交的URI参数缺少充分过滤，远程攻击者可以利用这个漏洞包含远程服务器上文件，以WEB进程权限执行任意命令。
问题存在于如下代码中：
123:if (file_exists($PGV_BASE_DIRECTORY.$THEME_DIR."theme.php")) require($PGV_BASE_DIRECTORY.$THEME_DIR."theme.php");
124:else {
125:        $THEME_DIR = $PGV_BASE_DIRECTORY."themes/standard/";
126:        require($THEME_DIR."theme.php");
127:     }
由于对PGV_BASE_DIRECTORY参数缺少充分处理，提交远程服务器上的恶意文件作为包含文件，就可以以WEB进程权限执行包含的代码。
solution:Upgrade phpgedview phpgedview to a higher version than 2.52.3,2.60,2.61,2.61.1,2.65,2.65.1,and avoid the version 2.52.3,2.60,2.61,2.61.1,2.65,2.65.1