Программа: class-1 Forum Software 0.24.4 и более ранние версии 

Обнаруженные уязвимости позволяют удаленному пользователю произвести XSS нападение и выполнить произвольные SQL команды в базе данных приложения. 

1. Уязвимость существует в сценарии 'users.php' при обработке входных данных в переменных 'viewuser_id' и 'group'. Удаленный пользователь может с помощью специально сформированного URL выполнить произвольный HTML сценарий в браузере жертвы в контексте безопасности уязвимого сайта. 

Примеры:

http://[target]/forum/users.php?mode=viewprofile& viewuser_id=89[XSS-code] 

http: //[target]/forum/users.php?mode=viewgroup& group=Moderators[XSS-code] 

2. Отсутствует фильтрация входных данных в различных переменных в сценариях users.php и viewforum.php. Удаленный пользователь может с помощью специально сформированного URL выполнить произвольные SQL команды в базе данных приложения. 

Примеры:

http://[target]/forum/viewattach.php?id= [SQL-Injection] 

http://[target]/forum/users.php?mode=viewprofile& viewuser_id=[SQL-I njection]

http://[target]/forum/viewforum.php?mode=view& id=[SQL-Injection]

http://[target]/forum/viewforum.php?forum= [SQL-Injection]

Подписаться
Уведомить о
0 комментариев
Межтекстовые Отзывы
Посмотреть все комментарии