CubeCart cross-site scripting és SQL befecskendezés sérülékenységek

CH azonosító

CH-3638

Angol cím

CubeCart Cross-Site Scripting and SQL Injection Vulnerabilities

Felfedezés dátuma

2010.09.09.

Súlyosság

Közepes

Érintett rendszerek

CubeCart
Devellion

Érintett verziók

CubeCart 4.x

Összefoglaló

A CubeCart olyan sérülékenységei váltak ismertté, amelyeket kihasználva a támadók cross-site scripting (CSS/XSS) és SQL befecskendezéses támadásokat tudnak végrehajtani.

Leírás

  1. Az “amount”, “cartId”, “email”, “transId”, és “transStatus” paramétereknek átadott bemeneti adat a modules/gateway/WorldPay/return.php-ben nincs megfelelően megtisztítva a felhasználónak történő visszaadás előtt. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjében egy érintett oldallal kapcsolatosan.
  2. A “searchStr” paraméterrel az index.php-nek (amikor az “_a” “viewCat”-re van állítva) átadott bemeneti adat nincs megfelelően megtisztítva az SQL lekérdezésekben történő használat előtt. Ez kihasználható az SQL lekérdezések módosítására tetszőleges SQL kód befecskendezésével.

A sérülékenységeket a 4.3.3-as verzióban jelentették. Más verziók is érintettek lehetnek.

Megoldás

Frissítsen a legújabb verzióra

Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2014-4078 – Microsoft Exchange szerver sérülékenység
CVE-2025-6170 – Red Hat sebezhetősége
CVE-2025-6021 – Red Hat sebezhetősége
CVE-2025-49796 – Red Hat sebezhetősége
CVE-2025-5777 – Citrix NetScaler sebezhetősége
CVE-2025-49825 – Teleport sebezhetősége
CVE-2025-4322 – WordPress sérülékenység
CVE-2025-37091 – HPE StoreOnce Remote Code Execution sebezhetősége
CVE-2025-37093 – HPE StoreOnce Authentication Bypass sebezhetősége
Tovább a sérülékenységekhez »