Xakep #305. Многошаговые SQL-инъекции
Программа: vTiger CRM 4.2 и более ранние версии
Обнаруженные уязвимости позволяют удаленному пользователю произвести XSS
нападение, получить доступ к потенциально важным данным, выполнить произвольные
SQL команды и произвольный PHP код на системе.
1. Межсайтовый скриптинг возможен из-за недостаточной обработки входных данных в
различных переменных. Удаленный пользователь может с помощью специально
сформированного запроса выполнить произвольный HTML код в браузере жертвы в
контексте безопасности уязвимого сайта. Пример:
/index.php/%22%3E%3Cscript%3Ealert('xss')%3C/script%3E/?[params]
2. Межсайтовый скриптинг обнаружен в модуле RSS. Удаленный пользователь может с
помощью специально сформированной страницы выполнить произвольный HTML код в
браузере жертвы при просмотре RSS новости.
3. Отсутствует должная фильтрация входных данных в параметре "date" и поле
username в административной секции. Удаленный пользователь может с помощью
специально сформированного запроса выполнить произвольные SQL команды в базе
данных приложения. Удачная эксплуатация уязвимости возможна при выключенной
опции "magic_quotes_gpc".
4. Уязвимость существует при обработке входных данных в параметрах "action" и "module".
Удаленный пользователь может выполнить произвольный локальный файл на системе.
Уязвимость может быть эксплуатирована для выполнения произвольного PHP кода,
содержащегося в лог файле "vtigercrm.log". Удачная эксплуатация уязвимости
возможна при выключенной опции "magic_quotes_gpc".
