CH azonosító
CH-8135Angol cím
Elite Bulletin Board Multiple SQL Injection VulnerabilitiesFelfedezés dátuma
2012.12.19.Súlyosság
KözepesÖsszefoglaló
Az Elite Bulletin Board olyan sérülékenységeit jelentették, amelyet a támadók kihasználva SQL befecskendezéses (SQL injection) támadásokat hajthatnak végre.
Leírás
Különböző script-ekre mutató URL-eken keresztül átadott bemeneti adatok nincsenek megfelelően megtisztítva a “update_whosonline_reg()” és “update_whosonline_guest()” függvényekben (includes/user_function.php). Ez kihasználható SQL lekérdezések manipulálására tetszőleges SQL kódok befecskendezésével.
Az érintett script-ek listája:
http://[host]/checkuser.php
http://[host]/groups.php
http://[host]/index.php
http://[host]/login.php
http://[host]/quicklogin.php
http://[host]/register.php
http://[host]/search.php
http://[host]/viewboard.php
http://[host]/viewtopic.php
A sérülékenységeket a 2.1.21 verzióban jelentették, de korábbi kiadások is érintettek lehetnek.
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Gyártói referencia: elite-board.us
Egyéb referencia: www.htbridge.com
CVE-2012-5874 - NVD CVE-2012-5874
SECUNIA 51622