CuteNews远程PHP代码注入执行漏洞

Cutenews是一款功能强大的新闻管理系统，使用平坦式文件存储。
Cutenews在处理用户提交的请求参数时存在漏洞，远程攻击者可能利用此漏洞在主机上执行任意命令。
在管理帐号编辑模板文件的时候，CuteNews不能正确的过滤用户输入。CuteNews从Web表单中获取
[url=javascript:;]HTML[/url]
[url=javascript:;]代码[/url]
并将其输出到名为.tpl的模板文件中。该模板文件包含有类似以下的
[url=javascript:;]PHP[/url]
代码：
--snip--
--snap--
输入以下模板脚本：
--snip--
HTML;
[PHP code]
$fake_template =
建议：
厂商补丁：
CutePHP
-------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：