Множественные уязвимости в Time Tracking Software

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю обойти ограничения безопасности, произвести XSS нападение и выполнить произвольные SQL команды в базе данных приложения.

1. Уязвимость существует из-за ошибки в сценарии "edituser.php" при проверке подлинности пользователя во время редактирования личных данных. Злоумышленник может изменить личные данные любого пользователя приложения. Пример:

http://host/timetracking/edituser.php? num=[userid]

2. Отсутствует фильтрация входных данных в некоторых параметрах. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения. Пример:

http://host/timetracking/edituser.php? num=999%20union% 20select%201, 2,3,4,5,6,7,8,9,10,11,12, 13/*

Url: http://host/timetracking/login.php
Name: any
Password: ' union select 1,2,3,4,5,6, 7,8,9,10,11, 12,13/*

URL производителя: schedulingmanagement.com/download-time-tracking-software-now.php

Решение: Установите последнюю версию с сайта производителя.

Источник: