SQL-инъекция в Turnkey Websites Shopping Cart

Описание:
Уязвимость позволяет удаленному пользователю выполнить произвольные SQL команды в базе данных уязвимого приложения.

Уязвимость существует из-за недостаточной фильтрации входных данных в нескольких параметрах в сценарии 'SearchResults.php'. Удаленный пользователь может выполнить произвольные SQL команды в базе данных приложения. Пример:

http://[target]/SearchResults.php?SearchTerm='
SQL_INJECTION&where='SQL_INJECTION
&ord1=ItemPrice&ord2=desc

http://[target]/SearchResults.php?SearchTerm=
dcrab&where=ItemDescription&ord1=
ItemPrice&ord2='SQL_INJECTION

URL производителя: www.turnkeywebsites.info

Решение: Способов устранения уязвимости не существует в настоящее время.