CH azonosító
CH-8163Angol cím
MyBB HM_My Country Flags Plugin "cnam" SQL Injection VulnerabilityFelfedezés dátuma
2012.12.26.Súlyosság
KözepesÉrintett rendszerek
HM_My Country FlagsMyBB
MyBB Group
Érintett verziók
HM_My Country Flags 1.x (plugin for MyBB)
Összefoglaló
A MyBB HM_My Country Flags beépülő moduljának sérülékenysége vált ismertté, amelyet kihasználva a támadók SQL befecskendezéses (SQL injection) támadásokat hajthatnak végre.
Leírás
A misc.php-nek a “cnam” paraméteren keresztül átadott bemeneti adat nincs megfelelően ellenőrizve az inc/plugins/hmflags.php-ben, mielőtt egy SQL lekérdezésben felhasználásra kerülne. Ez kihasználható SQL lekérdezések manipulálására tetszőleges SQL kód befecskendezésével.
A sérülékenységet az 1.1 verzióban jelentették, de más kiadások is érintettek lehetnek.
Megoldás
IsmeretlenTámadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: www.exploit-db.com
SECUNIA 51644