CVE:CVE-2008-2482
CNNVD:CNNVD-200805-347
OneCMS是为网络游戏站点设计的内容管理系统。
OneCMS实现上存在输入验证漏洞，远程攻击者可以通过提交恶意的HTTP请求包含本地资源的任意文件，导致泄露敏感信息。
当act设置为go的时候，OneCMS的install_mod.php文件中没有正确过滤对load参数的输入便用于包含文件：
 $mod = $_GET['load'];
$filexp = explode(".", $mod);
$filetype = $filexp[1];
 $file = $filexp[0];
$file2 = "mods/$mod";
if (!is_numeric($mod)) { // makes sure that the user isnt entering a #
if ($filetype == "php") {
 if ($_GET['act'] == "") {
echo "Are you sure you would like to install the <b>".$file."</b> module?
Yes";
 }
 if ($_GET['act'] == "go") {
 include ($file2);
 ...
solution:Upgrade insanevisions onecms to a higher version than 2.5,and avoid the version 2.5