Программа: Invision Power Board 2.0.3 и более ранние
версии
Уязвимость позволяет удаленному
пользователю произвести XSS нападение и
выполнить произвольные SQL команды в базе
данных приложения. SQL-инъекция существует
из-за недостаточной обработки данных в
сценарии 'sources/login.php'. Удаленный
пользователь может с помощью специально
сформированного файла куки выполнить
произвольные SQL команды в базе данных
приложения при выключенных Magic_quotes_gpc в
конфигурационном файле php. Отсутствует
проверка входных данных при отображении
результатов поиска в параметре 'highlite'
сценария 'sources/topics.php'. Удаленный
пользователь может с помощью специально
сформированного файла куки выполнить
произвольный HTML сценарий в браузере жертвы
в контексте безопасности уязвимого сайта.
