SQL-инъекция в KwsPHP

Описание:
Уязвимость позволяет удаленному пользователю выполнить произвольные SQL команды в базе данных приложения.

1. Уязвимость существует из-за недостаточной обработки входных данных в параметре "pseudo" в сценарии login.php. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения.

2. Уязвимость существует из-за недостаточной обработки входных данных в параметре "id" в сценарии index.php (когда параметр "mod" установлен в значение "espace_membre", "ac" в "carnet" и "act" в значение "editer"). Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения. Для удачной эксплуатации уязвимости, атакующему требуется валидная учетная запись в приложении.

3. Уязвимость существует из-за недостаточной обработки входных данных в параметре "typenav" в сценарии index.php (когда параметр "mod" установлен в значение "stats" и "aff" установлен в "browser"). Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения.

Для успешной эксплуатации всех уязвимостей опция "magic_quotes_gpc" должна быть отключена в конфигурационном файле PHP.

URL производителя: koogar.alorys-hebergement.com/kwsphp/index.php

Решение: Установите последнюю версию 1.0.85 с сайта производителя.