SQL-Injection-LĂĽcke in CMS PHP-Fusion
Ein Fehler bei der Parameterauswertung macht unter Umständen beliebigen Zugriff auf Inhalte der Datenbank möglich.
PHP-Fusion, ein Light-weight Content Management System, enthält im Modul messages.php eine Schwachstelle, die es einem Angreifer ermöglicht, eigene SQL-Anfragen an das System zu übergeben. Dazu genügt es, den Parameter msg_send zu manipulieren. Unter Umständen ist damit ein beliebiger Zugriff auf Inhalte der Datenbank möglich. Voraussetzung ist aber, dass die Option magic_quotes_gpc deaktiviert ist.
Ein Exploit ist bereits öffentlich verfügbar. Betroffen ist Version 6.00.109. Ein Patch steht noch nicht bereit.
Siehe dazu auch: (dab)
- PHP-Fusion "msg_send" Parameter Remote SQL Injection Vulnerability Fehlerreport von FrSIRT
