编辑“CubeCart”

[[Image:Cubecrt.jpg|right|thumb|CubeCart]]
'''CubeCart'''是一个完整的[[电子商务]]购物车软件解决方案程序。也就是一个购物车[[程序]]，有两个版本，其中一个CubeCart3是免费的。CubeCart4高级平台要 110 英镑，而CubeCart5同样也是付费的产品。CubeCart5.0.0现已通过其发行候选阶段，现在可以在<nowiki>http://cp.cubecart.com</nowiki>购买。它已通过McAfee安全漏洞测试，适合现场制作网店。
==CubeCart概况==
* 授权协议：免费版、付费版
* 运行环境：[[PHP]]/[[Mysql]]/ 
* 官方网站：http://www.cubecart.com/
* 最新下载：http://down.zzbaike.com/download/CubeCart-5167.html

==CubeCart软件特色==
#CubeCart可以让你快速设置一个强大的网上商店销售数字或服务。
#完整的控制和灵活性的增长前景。
#具有开源[[软件]]的灵活性与实用性。
#国外有将近上千万的用户使用该款软件。

==CubeCart任意文件上传漏洞==
===漏洞信息=== 
*CubeCart是一款基于PHP的电子商务程序。 
*CubeCart不正确过滤用户提交的文件，远程攻击者可以利用漏洞上传任意文件并以[[WEB]]权限执行。 
<pre>
'admin/includes/rte/editor/filemanager/browser/default/connectors/php/connector.php'
脚本对用户提交的上传缺少过滤，攻击者可以提交任意
脚本[[代码]]文件到[[服务器]]并以WEB权限执行。 
BUGTRAQ ID: 16796 
CNCAN ID:CNCAN-2006022401 </pre>
*漏洞消息时间:2006-02-23 
*漏洞起因 
*输入验证错误 
*影响系统 
<pre>
CubeCart CubeCart 3.0.7 -pl1 
CubeCart CubeCart 3.0.6 
CubeCart CubeCart 3.0.4 
CubeCart CubeCart 3.0.3 
不受影响系统 
CubeCart CubeCart 3.0.7 </pre>

*危害 
*远程攻击者可以利用漏洞上传任意文件并以WEB权限执行。 
*攻击所需条件 
*攻击者必须访问CubeCart。 
*测试方法
<pre> 
method="POST" enctype="multipart/form-data"> 
File Upload</pre>

===厂商解决方案===
*可联系供应商获得补丁信息:
*<nowiki>https://www.cubecart.com/site/helpdesk/index.php?_m=downloads&_a
*=view&parentcategoryid=5&pcid=0&nav=0</nowiki> 
*漏洞提供者:NSA Group 
*漏洞消息链接:<nowiki>http://www.nsag.ru/vuln/892.html</nowiki> 
*漏洞消息标题:NSAG-?197-23.02.2006 CubeCart v 3.0.0 - 3.0.6

==相关条目==
*[[FaceCart]]
*[[OsCommerce]] 
*[[TomatoCart]] 
*[[dashCommerce]]
*[[ecart]]
*[[RokQuickCart]]

==参考来源==
*http://www.oschina.net/p/cubecart/attention_list?pp=14
*http://down.chinaz.com/soft/29705.htm
*http://www.cubecart.com/
*http://www.enet.com.cn/article/2006/0301/A20060301506868.shtml
[[category:电子商务|C]]
[[category:软件|C]]