Множественные уязвимости в phpGedView

Описание: Несколько уязвимостей обнаружено в phpGedView. Удаленный пользователь может внедрить SQL команды, выполнить XSS нападение, вызвать отказ в обслуживании и определить инсталляционный путь.

Сценарии the 'timeline.php' и 'placelist.php' не фильтруют данные в переменных $parent_id и $level. В результате удаленный пользователь может внедрить произвольные SQL команды:

/placelist.php?level=1[Evil_Query]
/placelist.php?level=1&parent[0]=[Evil_ Query]
/placelist.php?level=2&parent[0]=&parent[1]=[Evil_Query]
/timeline.php?pids=[Evil_Query]

/indilist.php?alpha=\&surname_sublist=\
/famlist.php?alpha=(&surname_sublist= yes&surname=\
/placelist.php?level=1&parent[Blah]=
/imageview.php?zoomval=blah
/imageview.php?filename=/
/timeline.php?pids[Blah]=
/clippings.php?action=add&id=Blah

/login.php?action=login
/login.php?&changelanguage=yes&NEWLANGUAGE=Blah
/gdbi.php?action=connect&username=Blah

/descendancy.php?pid=<iframe>
/index.php?rootid="><iframe>
/individual. php?pid="><iframe>
/login.php?url=/index.php?GEDCOM="><iframe>
/relationship.php?path_to_find="><iframe>
/relationship.php?path_to_find=0&pid1="><iframe>
/relationshi p.php?path_to_find=0&pid1=&pid2="><iframe>
/source.php?sid=<iframe>
/imageview.php?filename=<iframe>
/calendar.php?action=today&day=1&month=jan&year="><iframe>
/calen dar.php?action=today&day=1&month=<iframe>
/calendar.php?action=today&day=<iframe>
/gedrecord.php?pid=<iframe>
/login.php?action=login&username="><iframe>
/login.php?& changelanguage=yes&NEWLANGUAGE=<iframe>
/gdbi_interface.php?action=delete&pid=<iframe>

URL производителя:http://sourceforge.net/

Решение:Установите обновленную версию программы: http://sourceforge.net/project/showfiles.php?group_id=55456