Доступ к основной базе данных в WEB-ERP

Рекомендуем почитать:

Хакер #305. Многошаговые SQL-инъекции

• Содержание выпуска
• Подписка на «Хакер»-60%

Уязвимость обнаружена в программе WEB-ERP. Уязвимость позволяет удаленному пользователю раскрыть конфигурацию системы и получить полный доступ к основной базе данных.

Удаленный пользователь может получить доступ к конфигурации системы, запрашивая следующий URL: 

http://[target]/logicworks.ini

Этот файл содержит имя пользователя и пароль к основной базе данных. Имея эту информацию, удаленный пользователь может получить полный доступ к базе данных. 

Уязвимость обнаружена в WEB-ERP 0.1.4.