OpenWebmail 被發現安全漏洞，攻擊者可利用該漏洞執行任何指令。
有問題的程式是 /cgi-bin/openwebmail/userstat.pl
快速解決:
52行左右.
請在 if ($user ne "") 之前一列加上：
$user =~ s/[\/\"\'\`\|\<\>\\\(\)\[\]\{\}\$\s;&]//g;
把攻擊者可能輸入的shell字元濾除即可。
本文取自
http://free.tnc.edu.tw/modules/news/article.php?storyid=1059
OpenWebmail 被發現安全漏洞，攻擊者可利用該漏洞執行任何指令。
有問題的程式是 /cgi-bin/openwebmail/userstat.pl
約在第 52 列位置，如下所示：
my $user = cookie('openwebmail-loginname') || param('loginname') || '';
my $playsound = param('playsound')||'';
my $html=qq|< a href="_URL_" target="_blank" style="text-decoration: none" >|.
qq|_TEXT_< /font >< /a >|;
if ($user ne "") {
my $status=`$ow_cgidir/openwebmail-tool.pl -m -e $user`;
# <-- $user is used in the system call
if ($status =~ /has no mail/) {
修補法：
請在 if ($user ne "") 之前一列加上：
$user =~ s/[\/\"\'\`\|\<\>\\\(\)\[\]\{\}\$\s;&]//g;
把攻擊者可能輸入的shell字元濾除即可。
OpenWebmail 版本 2.20、2.21、2.30 均受到影響，請儘速修補。最新的 current 版仍有條件地受到影響。
由於 userstat.pl 並非 OpenWebmail 執行期所必需，
您也可直接把它刪除，暫避漏洞。
消息來源：
http://sourceforge.net/forum/forum.php?thread_id=1072246&forum_id=108435
