Zeeproperty többszörös sérülékenység

CH azonosító

CH-1665

Felfedezés dátuma

2008.10.19.

Súlyosság

Közepes

Érintett rendszerek

Zeeproperty
Zeeways

Érintett verziók

Zeeways Zeeproperty

Összefoglaló

A Zeeproperty olyan sérülékenységei váltak ismertté, melyeket kihasználva támadók cross-site scripting és SQL befecskendezéses támadásokat tudnak végrehajtani, valamint rosszindulatú felhasználók föltörhetik a sérülékeny rendszert.

Leírás

A Zeeproperty olyan sérülékenységei váltak ismertté, melyeket kihasználva támadók cross-site scripting és SQL befecskendezéses támadásokat tudnak végrehajtani, valamint rosszindulatú felhasználók föltörhetik a sérülékeny rendszert.

  1. A bannerclick.php “adid” paraméteréhez rendelt bevitel a nincs megfelelően megtisztítva mielőtt SQL lekérdezésekben használnák. Ez kihasználható az SQL lekérdezések módosítására tetszőleges kód befecskendezésével.
  2. A tulajdonok képeinek föltöltésekor nincs megfelelően ellenőrizve a föltöltött fájl. Ez kihasználható pl. tetszőleges PHP kód föltöltésére és végrehajtására.

    A hiba sikeres kihasználáshoz felhasználói hozzáférés szükséges.
  3. A view_prop_details.php “propid” paraméteréhez rendelt bemenet nincs megfelelően megtisztítva mielőtt visszakerülne a felhasználóhoz. Ez kihasználható tetszőleges kód végrehajtására.

Megoldás

Javítsa a forráskódot a bemenet megfelelő ellenőrzése érdekében