CNCAN ID:CNCAN-2008081109
e107是一款基于PHP的WEB应用程序。
e107不正确处理用户提交的输入,远程攻击者可以利用漏洞进行SQL注入攻击,获得敏感信息或操作数据库。
问题是由于'download.php'脚本不安全使用"extract()"函数,允许通过POST方法传递输入来覆盖任意变量,这可导致修改部分SQL查询并执行任意PHP代码。
e107 0.x
E107 CVS库已经修正此漏洞:
<a href=http://e107.org/ target=_blank>http://e107.org/</a>
暂无评论