漏洞信息详情

phpCoin 多个SQL注入漏洞

• CNNVD编号：CNNVD-200503-148
• 危害等级： 高危
  
• CVE编号： CVE-2005-0946
• 漏洞类型： SQL注入
• 发布时间： 2005-03-29
• 威胁类型： 远程
• 更新时间： 2006-03-29
• 厂        商： coinsoft_technologies
• 漏洞来源： James Bercegay se...

漏洞简介

phpCoin是个免费软件包，网络托管的分销商可使用它来管理客户，发票，订单等。

phpCoin 1.2.1b及更早版本中存在多个SQL注入和文件包含漏洞，远程攻击者可能利用漏洞在主机上执行任意命令或非法访问数据库。

1 SQL注入漏洞：

phpCoin v1.2.1b及更早版本中存在3个SQL注入漏洞，其中搜索引擎中的漏洞非常实用。在搜索词/关键字中输入选择请求，下订单或找回密码时可能会出现这些漏洞。请注意如果启用了magic_quotes_gpc就不会出现这些漏洞。

2 文件包含漏洞：

在调用page参数http：//phpcoin/auxpage.php?page=../../../some/other/file 时auxpage.php中存在本地文件包含漏洞。

攻击者可以通过使用类似的例子遍历出目录，包含进任意文件。

漏洞公告

目前厂商已经发布了升级补丁以修复这个安全问题，补丁下载链接：

http://www.phpcoin.com/

参考网址

来源: BID

名称: 12917

链接:http://www.securityfocus.com/bid/12917

来源: MISC

链接:http://www.gulftech.org/?node=research&article_id=00065-03292005

来源: BUGTRAQ

名称: 20050329 Multiple phpCoin Vulnerabilities

链接:http://marc.theaimsgroup.com/?l=bugtraq&m=111214190111520&w=2

来源: MISC

链接:http://www.gulftech.org/?node=research&article_id=00065-03292005

来源: BUGTRAQ

名称: 20050329 Multiple phpCoin Vulnerabilities

链接:http://marc.theaimsgroup.com/?l=bugtraq&m=111214190111520&w=2

受影响实体

• Coinsoft_technologies Phpcoin:1.2  
• Coinsoft_technologies Phpcoin:1.2.1  
• Coinsoft_technologies Phpcoin:1.2.1b  

补丁

暂无