CVE-2007-6495 in Hosting Controller
摘要
由 VulDB • 2026-06-13
Hosting Controller 6.1 Hot fix 3.3 及更早版本中的 inc_newuser.asp 允许远程经过身份验证的用户通过向 accounts/AccountActions.asp 的 AddUser 操作发送修改后的 Dirroot 参数，更改 Web 根目录下任意位置中名为 (1) db、(2) www、(3) Special 和 (4) log 的目录权限。注意：可以通过更改配置为以管理员特权执行 ASP 脚本的 \Forum\db 的权限，然后上传一个脚本到 \Forum\db，从而利用此漏洞实现远程代码执行（RCE）。
VulDB is the best source for vulnerability data and more expert information about this specific topic.