phpCoin 多个SQL注入漏洞

漏洞信息详情

phpCoin 多个SQL注入漏洞

• CNNVD编号：CNNVD-200503-148
• 危害等级： 高危
  
  
• CVE编号：
  CVE-2005-0946
  
• 漏洞类型：
  
  
  SQL注入
  
• 发布时间：
  
  2005-03-29
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2006-03-29
  
• 厂        商：
  
  coinsoft_technologies
• 漏洞来源：
  James Bercegay se…

phpCoin是个免费软件包，网络托管的分销商可使用它来管理客户，发票，订单等。

phpCoin 1.2.1b及更早版本中存在多个SQL注入和文件包含漏洞，远程攻击者可能利用漏洞在主机上执行任意命令或非法访问数据库。

1 SQL注入漏洞：

phpCoin v1.2.1b及更早版本中存在3个SQL注入漏洞，其中搜索引擎中的漏洞非常实用。在搜索词/关键字中输入选择请求，下订单或找回密码时可能会出现这些漏洞。请注意如果启用了magic_quotes_gpc就不会出现这些漏洞。

2 文件包含漏洞：

在调用page参数http：//phpcoin/auxpage.php?page=../../../some/other/file 时auxpage.php中存在本地文件包含漏洞。

攻击者可以通过使用类似的例子遍历出目录，包含进任意文件。

目前厂商已经发布了升级补丁以修复这个安全问题，补丁下载链接：

http://www.phpcoin.com/

来源: BID

名称: 12917

链接:http://www.securityfocus.com/bid/12917

来源: MISC

链接:http://www.gulftech.org/?node=research&article_id=00065-03292005

来源: BUGTRAQ

名称: 20050329 Multiple phpCoin Vulnerabilities

链接:http://marc.theaimsgroup.com/?l=bugtraq&m=111214190111520&w=2

来源: MISC

链接:http://www.gulftech.org/?node=research&article_id=00065-03292005

来源: BUGTRAQ

名称: 20050329 Multiple phpCoin Vulnerabilities

链接:http://marc.theaimsgroup.com/?l=bugtraq&m=111214190111520&w=2