CVE:CVE-2008-5305
CNNVD:CNNVD-200812-175
TWiki是一款灵活易用、功能强大的企业协作平台和知识管理系统。
由于没有正确地过滤对perl eval命令所传送的输入，远程攻击者可以通过向TWiki提交恶意的%SEARCH{}%变量或GET URL导致向Perl反引号(``)运算中注入并执行SHELL命令。如果没有对TWiki执行访问限制的话，攻击者无需认证便可以使用SEARCH变量。
solution:Upgrade twiki twiki to a higher version than 4.2.3,4.0.0,4.0.1,4.0.2,4.0.3,4.0.4,4.0.5,4.1.0,4.1.1,4.1.2,4.2.0,4.2.1,4.2.2,and avoid the version (,4.2.3],4.0.0,4.0.1,4.0.2,4.0.3,4.0.4,4.0.5,4.1.0,4.1.1,4.1.2,4.2.0,4.2.1,4.2.2