涉及程序： Bharat Mediratta Gallery 详细： Bharat Mediratta Gallery 是一款开放源码，基于 WEB 的图库软件。它能作为 PHPNuke web 入口的一个附件。但是发现它对用户提供的输入验证不完善。攻击者通过构造含有 \"./\" 的 WEB 请求能以 WEB 用户身份非法访问 WEB 服务器上的任意文件。 http://www.somehost.com/modules.php?set_albumName=album01&id=aaw&op=modload&name=gallery&file=index&include=../../../../../../etc/hosts 受影响版本： Bharat Mediratta Gallery 1.1 Bharat Mediratta Gallery 1.2 - Francisco Burzi PHP-Nuke 5.0 Bharat Mediratta Gallery 1.2.1p1 - Francisco Burzi PHP-Nuke 5.0 Bharat Mediratta Gallery 1.2.1 - Francisco Burzi PHP-Nuke 5.0 Bharat Mediratta Gallery 1.2.2 - Francisco Burzi PHP-Nuke 5.0 不受影响版本： Bharat Mediratta Gallery 1.2.3 - Francisco Burzi PHP-Nuke 5.0 解决方案： 1、临时解决方案：使用 PHP 包含 \"system escapeshell\" 函数 2、下载安装升级版本： Bharat Mediratta Gallery 1.1: Bharat Mediratta Upgrade Gallery v1.2.3 http://sourceforge.net/project/showfiles.php?group_id=7130&release_id=62216 Bharat Mediratta Gallery 1.2: Bharat Mediratta Upgrade Gallery v1.2.3 http://sourceforge.net/project/showfiles.php?group_id=7130&release_id=62216 Bharat Mediratta Gallery 1.2.1: Bharat Mediratta Upgrade Gallery v1.2.3 http://sourceforge.net/project/showfiles.php?group_id=7130&release_id=62216 Bharat Mediratta Gallery 1.2.2: Bharat Mediratta Upgrade Gallery v1.2.3 http://sourceforge.net/project/showfiles.php?group_id=7130&release_id=62216