Visualización y ejecución arbitraria en Power UP HTML

De nuevo una aplicación no filtra correctamente las peticiones HTTP
y permite escalar directorios en el servidor web a través de la
cadena ../.
Power UP HTML proporciona extensiones al HTML estándar cuyos nuevos
comandos son interpretados por CGIs. La vulnerabilidad comentada
permite escalar directorios fuera de la raíz pública, visualizar
archivos y ejecutar código arbitrario.

Ejemplo:
http://www.target.com/cgi-bin/powerup/r.cgi?FILE=../../../../../etc/passwd

El problema ha sido detectado en la última versión disponible, Power
UP HTML 0.8033beta, y de momento el autor no ha publicado ninguna
corrección. La recomendación para los afectados pasa por desinstalar
la aplicación.

Más información:

BugTraq
http://www.securityfocus.com/archive/1/212679

Power Up HTML
http://dev.ideacube.com/cgi-bin/powerup/r.cgi?FILE=main.html