CVE Vulnerability Catalog

Podatność CVE-2006-3192 w Ad Manager Pro 2.6 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez wykorzystanie parametru ipath w pliku common.php oraz innych nieokreślonych wektorów w pliku ad.php.

Podatność CVE-2006-3177 dotyczy zdalnego włączenia pliku w PHP w pliku Admin/rtf_parser.php w projekcie The Bible Portal w wersji 2.12 i wcześniejszych. Umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w parametrze destination.

Wielokrotne podatności na zdalne włączenie pliku w PHP w Content*Builder 0.7.5 umożliwiają zdalnym atakującym wykonanie dowolnego kodu PHP poprzez URL w różnych parametrach. Dotyczy to m.in. parametrów path[cb], rel oraz actualModuleDir w określonych plikach.

Podatność na wstrzykiwanie SQL w pliku xarancms_haupt.php w wersji 2.0 xarancms umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru id.

Wielokrotne podatności na wstrzykiwanie SQL w Sharky e-shop 3.05 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) maingroup i (2) secondgroup w pliku search_prod_list.asp oraz (3) maingroup w pliku meny2.asp.

Podatność na przejście do katalogu w pliku index.php w MobeScripts Mobile Space Community 2.0 umożliwia zdalnym atakującym odczyt dowolnych plików poprzez wykorzystanie sekwencji .. (kropka kropka) w parametrze uid na stronie rss.

W podatności CVE-2006-3185 w CMS Faethon 1.3.2 występuje luka zdalnego dołączania plików PHP w pliku data/header.php, która pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez parametr mainpath.

Podatność SQL injection w CS-Forum przed wersją 0.82 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) id i (2) debut w pliku (a) read.php oraz parametry (3) search i (4) debut w pliku (b) index.php.

W podatności CVE-2006-3150 występuje luka typu SQL injection w pliku index.php w CavoxCms w wersji 1.0.16 i wcześniejszych, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr page.

Podatność SQL injection w Open-Realty 2.3.1, prawdopodobnie w pliku search.inc.php, umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr sorttype w index.php.

W podatności CVE-2006-3165 występuje luka typu SQL injection w pliku propview.php w wersjach Free Realty 2.9-0.7 i wcześniejszych, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr sort.

Wielokrotne podatności na wstrzykiwanie SQL w pliku galeria.php w IMGallery w wersji 2.4 i wcześniejszych umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametrów (1) start lub (2) sort.

Podatność na wstrzykiwanie SQL w pliku forum.php w VBZooM 1.11 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru MainID.

Podatność na wstrzykiwanie SQL w pliku index.pl w Ultimate Estate 1.0 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru id.

W podatności CVE-2006-3161 występuje luka typu SQL injection w pliku misc.php w SaphpLesson w wersji 1.1 i wcześniejszych. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr action.

W podatności CVE-2006-3162 w SmartSiteCMS 1.0 i wcześniejszych wersjach występuje luka umożliwiająca zdalne włączenie pliku PHP poprzez parametr root w pliku include/inc_foot.php. Zdalni atakujący mogą wykonać dowolny kod PHP, co stanowi poważne zagrożenie dla bezpieczeństwa aplikacji.

Podatność CVE-2006-3144 dotyczy zdalnego włączenia pliku w PHP w pliku microcms-include.php w IBD Micro CMS w wersji 3.5 i wcześniejszych. Umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez parametr microcms_path.

W phpTRADER 4.9 SP5 i wcześniejszych wersjach występuje wiele podatności na ataki typu SQL injection, które pozwalają zdalnym atakującym na wykonywanie dowolnych poleceń SQL. Ataki te mogą być przeprowadzane poprzez różne parametry w kilku plikach, takich jak login.php, write_newad.php i inne.

Wielokrotne podatności na wstrzykiwanie SQL w pliku war.php w Virtual War (VWar) w wersji 1.5.0 R14 i wcześniejszych umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametrów (1) s, (2) showgame, (3) sortorder i (4) sortby.

Podatność SQL injection w pliku index.php w openCI 1.0 BETA 0.20.1 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.