SQL-инъекция и межсайтовый скриптинг в Koobi

Дата публикации:
29.03.2005
Дата изменения:
17.10.2006
Всего просмотров:
3965
Опасность:
Средняя
Наличие исправления:
Нет
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
CVE-2005-0890
CVE-2005-1373
Вектор эксплуатации:
Удаленная
Воздействие:
Неавторизованное изменение данных
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
dream4 Koobi 4.x
Уязвимые версии: Koobi 4.2.3

Описание:
Уязвимость позволяет удаленному пользователю произвести XSS нападение и выполнить произвольные SQL команды в базе данных уязвимого приложения.

1. Отсутствует должная фильтрация данных в переменной area в сценарии input.php. Удаленный пользователь может с помощью специально сформированного URL выполнить произвольный HTML сценарий в браузере жертвы в контексте безопасности уязвимого сайта. Пример:

http://[target]/index.php?area=[XSS] <./i>

2. Удаленный пользователь может также с помощью специально сформированного значения переменной area выполнить произвольные SQL команды в базе данных приложения. Пример:

http://[target]/index.php?p=articles&area=[SQLCode]

3. Удаленный пользователь может получить данные об установочной директории приложения на сервере. Пример:

http://[target]/index.php?area=1[some stuff]&p=news&newsid=1
http://[target]/index.ph p?p=news'&newsid=

URL производителя: http://www.dream4.de/static_koobi_1.htm

Решение: Способов устранения уязвимости не существует в настоящее время.

или введите имя

CAPTCHA