CVE:CVE-2005-4142
CNNVD:CNNVD-200512-185
AOL Lyris ListManager（LM）是美国在线（AOL）公司的一套用于管理邮件列表，创建邮件、新闻组和讨论组的电子邮件营销软件。
Lyris ListManager中存在CRLF字符注入漏洞，远程攻击者可能利用此漏洞在主机上执行任意命令。
为新用户订阅邮件列表的Web界面(/subscribe/subscribe)接受列表口令参数(pw)。ListManager对该口令参数检查了空格位，但在放置到缓冲区之前没有进行过滤。该缓冲区将会做为新的认证命令消息插入到处理队列中，因此攻击者可以在命令处理引擎中结合自动换行功能，使用%0A%0D序列执行任意列表管理命令。Lyris ListManager的读取消息附件的功能处理URL串时也存在SQL注入漏洞，远程攻击者可能利用此漏洞在服务器上执行任意命令。
solution:Upgrade lyris_technologies_inc listmanager to a higher version than 5.0,6.0,7.0,8.0,8.8a,and avoid the version 5.0,6.0,7.0,8.0,8.8a