PHPRunner “SearchField” SQL befecskendezés sérülékenységek

CH azonosító

CH-2039

Felfedezés dátuma

2009.03.17.

Súlyosság

Közepes

Érintett rendszerek

PHPRunner
XLineSoft

Érintett verziók

XLineSoft PHPRunner 4.x

Összefoglaló

A PHPRunner olyan sérülékenységei váltak ismertté, melyeket kihasználva rosszindulatú támadók SQL befecskendezéses támadásokat tudnak végrehajtani.

Leírás

A PHPRunner olyan sérülékenységei váltak ismertté, melyeket kihasználva rosszindulatú támadók SQL befecskendezéses támadásokat tudnak végrehajtani.

A “SearchField” paraméterhez rendelt bemenet az orders_list.php-ban és a users_list.php-ban nincs megfelelően megtisztítva mielőtt SQL lekérdezésekben használnák. Ez kihasználható az SQL lekérdezések módosítására tetszőleges kód befecskendezésével.

A sérülékenységek a 4.2. verzióban találhatóak, egyéb verziók is érintettek lehetnek.

Megoldás

Javítsa a forráskódot a bemenet megfelelő ellenőrzése érdekében