Дата публикации: | 04.02.2009 |
Всего просмотров: | 1686 |
Опасность: | Средняя |
Наличие исправления: | Да |
Количество уязвимостей: | 1 |
CVE ID: | Нет данных |
Вектор эксплуатации: | Удаленная |
Воздействие: |
Неавторизованное изменение данных Обход ограничений безопасности |
CWE ID: | Нет данных |
Наличие эксплоита: | Нет данных |
Уязвимые продукты: | Max.Blog 1.x |
Уязвимые версии: Max.Blog версии до 1.0.6
Описание: 1. Уязвимость существует из-за того, что приложение недостаточно ограничивает доступ к сценарию "delete.php". Удаленный пользователь может вызвать сценарий и удалить произвольные публикации в блоге. 2. Уязвимость существует из-за недостаточной обработки входных данных в параметре "id' в сценарии show_post.php. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения. URL производителя: www.mzbservices.com/index.php Решение: Установите последнюю версию 1.0.6 с сайта производителя. |
|
Ссылки: | Max.Blog 1.0.6 Arbitrary Delete Post Exploit |
|
http://milw0rm.com/exploits/7835 http://mzbservices.com/show_post.php?id=72 http://mzbservices.com/show_post.php?id=73 |