Cutenews是一款功能強大的新聞管理系統，使用平坦式文件存儲。
Cutenews在處理用戶提交的請求參數時存在漏洞，遠程攻擊者可能利用此漏洞在主機上執行任意命令。
在管理帳號編輯模板文件的時候，CuteNews不能正確的過濾用戶輸入。CuteNews從Web表單中獲取HTML代碼並將其輸出到名為<templatename>.tpl的模板文件中。該模板文件包含有類似以下的PHP代碼：
--snip--
<?PHP
$template_active = <<<HTML
[HTML template code]
HTML;
$template_full = <<<HTML
[HTML template code]
HTML;
?>
--snap--
輸入以下模板腳本：
--snip--
HTML;
[PHP code]
$fake_template = <<<HTML
--snap--
管理帳號就可以執行PHP代碼，導致在本地系統執行shell命令。
<*來源：John Cantu （
