Множественные уязвимости в MyPHPim

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю произвести XSS нападение, выполнить произвольные SQL команды в базе данных приложения и скомпрометировать систему.

1. Уязвимость обнаружена в сценарии "addresses.php3". Удаленный пользователь может загрузить и выполнить произвольный PHP сценарий на системе с привилегиями Web сервера.

2. Уязвимость существует из-за недостаточной фильтрации входных данных в параметре "cal_id" сценария "calendar.php3". Удаленный пользователь может с помощью специально сформированного URL выполнить произвольные SQL команды в базе данных приложения. Пример:

http://host/myphpim/calendar.php3? menu=detail&cal_id=999%
20union%20select%201,2,3,4,5, 6,7,8,9,10, 11,12,13,14, 15,16,17/*

3. Межсайтовый скриптинг возможен из-за недостаточной обработки входных данных в некоторых полях. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта.

URL производителя: sourceforge.net/projects/myphpim/

Решение: Способов устранения уязвимости не существует в настоящее время.

Источник: