SQL инъекция в Invision Power Board

Описание: Уязвимость обнаружена в Invision Power Board. Злонамеренный пользователь может выполнить нападение Sql инъекции.

Уязвимость обнаружена в параметре "sort_key" в сценарии index.php. В результате удаленный пользователь может манипулировать используемыми SQL запросами. Пример:

/index.php?showforum=1&prune_day=100&sort_by=Z-A&sort_key=[Problem_is_here]

…
Begin Error Message
------------------------------
mySQL query error: SELECT * from ibf_topics WHERE forum_id=2 and approved=1 
and (last_post > 0 OR pinned=1) ORDER BY pinned DESC, [Problem_is_here] DESC 
LIMIT 0,15

URL производителя:http://forums.invisionpower.com/index.php?showtopic=106774&st=0&#entry762426

Решение:Установите соответствующее обновление: http://www.invisionboard.com/download/index.php?act=dl&s=1&id=12&p=1