Лучшие статьи квартала на бумаге
2 000 ₽
Заказать журнал
Полный доступ к статьям и архиву выпусков
6 000 ₽ в год
Подписаться
Совместный курс «Хакера» и лаборатории «Хаксет»
7 000 ₽
Купить курс
Лучшие статьи за 2021–2022 годы на бумаге
2 000 ₽
Заказать журнал
Программа: aspWebCalendar
Удаленный пользователь может внедрить SQL команды.
Удаленный пользователь может внедрить специально сформированные данные через '/calendar.asp?action=login' страницу, чтобы выполнить произвольные SQL команды на целевой системе.
Пример (для поле username):
" ' union select Cal_User_Password,1,1,1,1,1,1,1,1,1 from Cal_User where Cal_User_UserName = 'admin'-- "
Поле 'eventid' в '/calendar.asp?action=eventdetail&eventid=' также уязвимо.
Сайт защищен Qrator —