SQL-инъекция в eSupport

Описание:
Несколько уязвимостей обнаружено в eSupport. Удаленный атакующий может выполнить произвольные SQL команды и произвести XSS нападение.

SQL-инъекция существует из-за некорректной обработки данных в нескольких параметрах. Удаленный атакующий может с помощью специально сформированного URL выполнить произвольные SQL команды. Примеры:

http://[target]/index.php?_a=knowledgebase&_j=subcat&_i=[SQL]
http://[target]/index.php?_a=knowledgebase&_j=rate&_i=[SQL]&type=no
http://[target]/index.php ?_a=knowledgebase&_j=questiondetails&_i=[SQL]
http://[target]/index.php?_a=tickets&_m=viewmain&email22=blah@blah&ticketkey22=[SQL]
http://[target]/index.php?_a=tickets& _m=viewmain&email22=[SQL]&ticketkey22=

Межсайтовое выполнение сценариев возможно из-за некорректной фильтрации входных данных. Удаленный атакующий может выполнить произвольный HTML сценарий в браузере целевого пользователя. Пример:

http://[target]/index.php?_a=knowledgebase&_j=search&searchm=[CODEGOESHERE]

URL производителя: www.kayako.com/?_a=products&_m=esupport.features

Решение: Решение не существует на данный момент.