Программа: AlstraSoft Template Seller Pro 3.25 и более ранние версии
Обнаруженные уязвимости позволяют удаленному пользователю произвести
SQL-инъекцию и выполнить произвольный PHP сценарий на целевой системе.
1. Уязвимость существует из-за недостаточной обработки входных данных в
параметре "config[basepath]" сценария "include/paymentplugins/payment_paypal.php"
при включенной опции "register_globals". Удаленный пользователь может с помощью
специально сформированного URL выполнить произвольный PHP сценарий на целевой
системе с привилегиями web сервера.
2. SQL-инъекция возможна из-за недостаточной обработки входных данных в поле
username при выключенной опции "magic_quotes_gpc". Удаленный пользователь может
с помощью специально сформированного запроса выполнить произвольные SQL команды
в базе данных приложения.
