详细描述：
X-Cart是一款基于PHP的电子商务程序。X-Cart没有充分过滤URI的参数值，远程攻击者可以利用这个漏洞以WEB进程权限查看任意文件内容或获得敏感信息。
'customer/auth.php'脚本对'shop_closed_file'参数缺少充分过滤，攻击者提交包含多个'../'字符的参数，可绕过WEB ROOT限制，以WEB进程权限查看任意文件内容。
另外'admin/general.php'脚本对'mode'参数也缺少充分限制，提交特殊参数可获得PHP和PERL程序的详细信息。
x-cart的伟大之处在于他诞生之先，就考虑到了把所有必要的工具都整合进来，遍及全球的x-cart使用者打造出了一个又一个完美的电子商务网店。x-cart在为客户定制的构成中，不停的去更新网店系统软件，使她日臻完美。以下是SuperCart（x-cart中国地区的服务商）整理的x-cart的157大特色功能。如果您还是不确定这些功能的实质，您可以进入我们的体验中心，亲身感受。
安装与支持无需编程
基于网页的安装向导
完整的网站建设包
易用的网页界面
x-cart网店信息输出：设置信息，州或省，分类，产品，目的区域，税收，运费费率，订单，会员级别等等。
信息输入：设置信息，州或省，分类，产品，目的区域，税收，运费费率，订单，会员级别等等。打破陈规的前台系统
本土化定制：多语言，可定制的货币符号，重量体积单位，可以定制的州或省
升级版本免费获得
设计和版面16个免费模板
100%模板化界面，前台界面和后台界面分离
CSS版面全部可以定制符合W3C XHTML 1.0规范
导航系统自然流畅
整合WYSIWYG编辑器，可以用于产品、分类、厂商的描述，语言变量以及静态页面的编辑。
自动生成产品小图并优化成清晰图像
支持分类小图
侧边菜单的"mini-cart"可以在所有的页面显示内置的模板编辑器：预览，编辑和恢复功能
WYSIWYG编辑器的网主模式
Debug控制中心：所有模板页面以树状结构显示
静态页面查找，建立，修改
可定制的头标签
HTML版本的email支持
客户关怀所有的订单都存储于MySQL数据库
客户可以查询和浏览个人订单历史
整合的可定制的网店产品查询
实时订单跟踪
客户可以选择帐户登记也可以选择快速结账
快速结账通道模块
不注册禁止结账功能
为客户记住密码
定制电邮通知或发票通知
收藏夹
发送给朋友
存储顾客购物车的功能
多列表的资讯管理，编辑/输入/输出订阅者，新闻存档
打印版本
多顾客型定价为不同的客户制定不同的价格
会员与特价
清空购物车按钮
在购物车/收藏夹/礼物登记中编辑产品选项
可以打印的发票
自定义联系表格
用户档案中地址行允许第二行
改变产品在客户端的排列次序
产品目录产品数量不限
产品分类数量不限
子分类嵌套层数不限
产品可以被划分到无数多个目录中
同时修改多个产品的参数
只对会员开放的目录
“特色产品”盒
热卖自动显示
相关产品，追加销售和交叉销售
一键启动和禁止产品或目录
产品目录中支持2个币种的的产品目录（注意：付款处理只能用一个币种）
自动币种转换
根据题目，描述，目录，SKU，价格，重量等参数自定义查询
“禁止关键词”：设定关键词为禁止关键词时，查询的词自动被查询系统忽略
产品细节产品选项变量属性价格等细节可以无限修改
产品属性字段无限制自定义
自定义价格
HTML-让产品描述更加丰富
产品图片数量不限
图像存储于数据库或文件系统两便
同一个产品可以出现在不同的分类中
制造商模块
在弹出窗口中显示产品细节图片
理货与库存抵用券代码和礼券
全面的库存控制
“缺货”提醒
打折数量
零售与批发
订单下限
运输和税收USPS，联邦，UPS运费自动计算
无限自定义运输方式
均价，重量，订单总金额和基于单个物品的运输设定
为每种不同的运输方法设定不同的重量限制
实时运达的涨价幅度
标记免费送货的产品
免费送货的抵用券
添加处理费或运费
处理国际，国内和本地的运输
可以克隆一个地区或所有地区的信息
限制送货至某位置
允许顾客选择投递方式
支持可下载商品
自定义税收计算
特殊产品的税计算
根据客户的区域不同来定义税和运费的不同
免税功能
GST/PST（加拿大税收系统）
加拿大邮局送达
DHL（Airborne）ShipIt API支持支持澳大利亚邮政运费计算
USPS和UPS运输标签的打印
澳大利亚邮局订单的跟踪
销售分析和跟踪强大的数据分析能力
- 订单数量
- 顾客数量
- 产品查看
- 目录查看
- 客户从购物车中移走的产品
- 单个产品的销量、热卖的商品
- 总销售额
- 客户环境设定
- 客户可以输入任意关键字查询商品可查询的订单数据
订单数据易打印
可打印的运输标签
USPS和UPS标签的自动打印
搜索引擎和流量跟踪：可以保存客户的推荐人的数据
运输或后续工作界面
输出销售和顾客的数据到一个电子表格
输出订单数据到Quickbook格式
数据库与平台的兼容性开源PHP代码
支持UNIX/Linux, Windows 和 Mac OS X servers支持MySQL数据库多语言支持：您的网店可以同时使用的语言总类不限
产品多语言支持
分类多语言支持
产品选项多语言支持
付款模块支持所有主流付款门户
实施灵活：功能可以随时激活和禁止
积累回头客所有客户的信息都存储于数据库
自动向常客致意
注册用户可以打折
注册客户不需要再次登记注册信息
注册客户可以编辑他们的档案
竹醋而客户可以进入病查看他们的历史订单
嵌入式的资讯系统
导出资讯的订阅者
注册顾客的订单实时跟踪
审查产品的评论和评级
退货插件可以安排退还客户的付款
基于网页的控制面板密码保护的管理员接入
所有修改实时进行
通过浏览器可以在世界任何地方控制您的网店
后台管理员数量不限
管理员权限限制
用户自定义时间格式
管理员可以扮演其他用户的角色（如把xcart作为一个现场销售系统为顾客电话下单）
安全全面支持HTTPS/SSL管理界面的安全HTTPS/SSL登陆有密码保护的管理界面登陆
对敏感客户准备的强大的Blowfish加密技术PGP- 加密的电邮通知
所有失败登陆的实时安全通知
反欺诈模块在结账过程中会合适顾客的地址信息
黑名单模块可以阻止特定的IP
备份子系统modification and to discover which files have been deleted, added or modified系统指纹：对比网店在修改前后的状态从而发现有哪些文件被添加，删除或修改
随即生成的图片保护注册页面和密码恢复的表格
