PHPNuke modules.php模块过滤不充分 SQL注入漏洞

ufo2000

bj.cyberpolice.cn 2004-5-14 15:16:00

受影响系统：

Francisco Burzi PHP-Nuke 7.2
Francisco Burzi PHP-Nuke 7.1
Francisco Burzi PHP-Nuke 7.0
Francisco Burzi PHP-Nuke 6.9
Francisco Burzi PHP-Nuke 6.8
Francisco Burzi PHP-Nuke 6.7
Francisco Burzi PHP-Nuke 6.6
Francisco Burzi PHP-Nuke 6.5 RC3
Francisco Burzi PHP-Nuke 6.5 RC2
Francisco Burzi PHP-Nuke 6.5 RC1
Francisco Burzi PHP-Nuke 6.5 BETA1
Francisco Burzi PHP-Nuke 6.5
Francisco Burzi PHP-Nuke 6.0

详细描述：

PHP-Nuke是一个广为流行的网站创建和管理工具，它可以使用很多数据库软件作为后端，比如MySQL、PostgreSQL、mSQL、Interbase、Sybase等。

PHP-Nuke包含的'modules.php'模块对用户提交的输入缺少充分过滤，远程攻击者可以利用这个漏洞获得用户的敏感信息。

'modules.php'模块对用户提交给"orderby"和"sid"变量缺少过滤，提交包含恶意SQL命令作为此变量数据，可更改原有SQL逻辑，获得数据库中敏感信息或更改数据库信息。


目前厂商还没有提供补丁或者升级程序

包子

好样的！
+U哦！