SQL инъекция в aspWebCalendar

Рекомендуем почитать:

Xakep #305. Многошаговые SQL-инъекции

• Содержание выпуска
• Подписка на «Хакер»-60%

Программа: aspWebCalendar 

Удаленный пользователь может внедрить SQL команды.
Удаленный пользователь может внедрить специально сформированные данные через '/calendar.asp?action=login' страницу, чтобы выполнить произвольные SQL команды на целевой системе. 

Пример (для поле username): 

" ' union select Cal_User_Password,1,1,1,1,1,1,1,1,1 from Cal_User where Cal_User_UserName = 'admin'-- "

Поле 'eventid' в '/calendar.asp?action=eventdetail&eventid=' также уязвимо.