CVE:CVE-2014-2737
CNNVD:CNNVD-201404-442
KnowledgeTree是美国KnowledgeTree公司的一套基于Web的开源文档管理系统。该系统提供知识管理、文档版本控制和分层文档管理等功能。
KnowledgeTree 3.7.0.2及之前版本的webservice/clienttools/services/mdownload.php脚本的KTAPI_UserSession类中的‘get_active_session’函数存在SQL注入漏洞。远程攻击者可借助‘U’参数利用该漏洞执行任意SQL命令。
solution:Upgrade knowledgetree knowledgetree to a higher version than 3.5,3.5.2,3.5.4,3.5.4a,3.6,3.7.0.2,3.7,3.7.0.1,and avoid the version 3.5,3.5.2,3.5.4,3.5.4a,3.6,(,3.7.0.2],3.7,3.7.0.1