CVE:CVE-2002-2015
CNNVD:CNNVD-200212-616
PostNuke是一款由PHP-NUKE项目组维护和开发的内容管理系统，由PHP实现，运行在多种Linux和Unix系统下，也可运行在Microsoft Windows操作系统下。
PostNuke的user.php脚本上存在漏洞，远程攻击者可以通过提交包含远程主机上的脚本代码进行攻击。
攻击者可以通过user.php指定模块为包含远程攻击者控制主机下建立的任意文件，导致远程主机上的任意代码将在系统上执行。问题存在于user.php的第107行，用户可以追加任意值到$caselist变量：
foreach ($caselist as $k=>$v)
{
    $ModName = $v['module'];
    include "$v[path]/$k";
}
$caselist = array();
攻击者可能利用此漏洞以httpd的权限在目标系统执行任意命令。
能否成功利用此漏洞依靠主机系统上的php配置，如果php.ini中的'all_url_fopen'选项被设置成'off'，此攻击将失败。
solution:Upgrade postnuke_software_foundation postnuke to a higher version than 0.703,and avoid the version 0.703