Межсайтовый скриптинг и SQL-инъекция в MySQL Eventum

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю произвести XSS нападение и выполнить произвольные SQL команды в базе данных приложения.

1. Уязвимость существует при обработке параметра email сценария '/includes/class.auth.php'. Удаленный пользователь может с помощью специально сформированного параметра выполнить произвольные команды в базе данных приложения. Также уязвимы сценарии /reports/custom_fields.php, /reports/custom_fields_graph.php и /manage/releases.php.

2. Отсутствует фильтрация HTML символов в нескольких сценариях. Удаленный пользователь может с помощью специально сформированного URL выполнить произвольный HTML сценарий в браузере жертвы в контексте безопасности уязвимого сайта. Примеры:

http://[target]/view.php?id=1'%22%3E%3Ciframe%3E

http://[target]/list.php?keywords=&users=&category
=&release=%22%3E%3Ciframe%3E

http://[target]/get_jsrs_data.php?F=wee%22%3E%3Ciframe%3E

URL производителя: mysql.com

Решение: Установите последнюю версию (1.6.0) с сайта производителя.