|
|
|
|
| Архив новостей |
 |
|
|
|
|
|
|
 |
|
| Новостные сайты |
 |
|
|
|
|
|
|
|
|
| Безопасность |
| |
|
|
 |
02.08.2005 07:52 |
| |
Межсайтовый скриптинг и SQL-инъекция в MySQL Eventum |
|
Программа: MySQL Eventum 1.5.5 и более ранние версии
Опасность: Средняя
Наличие эксплоита: Да
Описание: Обнаруженные уязвимости позволяют удаленному пользователю произвести XSS нападение и выполнить произвольные SQL команды в базе данных приложения.
1.
Уязвимость существует при обработке параметра email сценария '/includes/class.auth.php'. Удаленный пользователь может с помощью специально сформированного параметра выполнить произвольные команды в базе данных приложения. Также уязвимы сценарии /reports/custom_fields.php, /reports/custom_fields_graph.php и /manage/releases.php.
2.
Отсутствует фильтрация HTML символов в нескольких сценариях. Удаленный пользователь может с помощью специально сформированного URL выполнить произвольный HTML сценарий в браузере жертвы в контексте безопасности уязвимого сайта. Примеры:http://[target]/view.php?id=1'%22%3E%3Ciframe%3Ehttp://[target]/list.php?keywords=&users=&category=&release=%22%3E%3Ciframe%3Ehttp://[target]/get_jsrs_data.php?F=wee%22%3E%3Ciframe%3E
URL производителя: mysql.com
Решение: Установите последнюю версию (1.6.0) с сайта производителя.
|
|
|
|
|
| Новости по теме |
| |
|
|
|
|
|
Навигация по порталу: 
