SQL инъекция в My Classifieds SQL

Дата публикации:
23.10.2003
Всего просмотров:
779
Опасность:
Средняя
Наличие исправления:
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
Нет данных
Вектор эксплуатации:
Воздействие:
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
Уязвимые версии: My Classifieds SQL 2.13

Описание: Уязвимость обнаружена в My Classifieds SQL. Злонамеренный пользователь может выполнить нападение SQL инъекции.

Уязвимость связанна с ошибкой проверки правильности данных, представленных в переменной "$email". В результате злонамеренный пользователь может манипулировать существующим SQL запросом и раскрыть потенциально чувствительные данные, типа паролей пользователей системы.

Пример/Эксплоит:

If the value of $email is aaa@aaa.com' OR 1=1 INTO OUTFILE
'/<directory-path>/pass.txt, the SQL request becomes:

select passmd5 from people where email=' aaa@aaa.com' OR 1=1 INTO OUTFILE
'/<directory-path>/pass.txt'

URL производителя:http://fuzzymonkey.org

Решение: Установите обновленную версию программы: http://fuzzymonkey.org/newfuzzy/software/perl/

Ссылки: SQL Injection Vulnerability in FuzzyMonkey MyClassifieds SQL Version

или введите имя

CAPTCHA