Katalog podatności CVE

Podatność SQL injection w FileLister 0.51 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry wyszukiwania, prawdopodobnie parametr searchwhat w pliku definesearch.jsp.

Podatność na przejście katalogu w pliku arhiva.php w Web4Future Portal Solutions News Portal umożliwia zdalnym atakującym odczyt dowolnych plików za pomocą parametru dir.

Podatność SQL injection w pliku comentarii.php w Web4Future Portal Solutions News Portal umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr idp.

W funkcji functions.php w Web4Future Affiliate Manager PRO w wersji 4.1 i wcześniejszych występuje podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr pid.

Podatność na wstrzykiwanie kodu w MediaWiki 1.5.x przed wersją 1.5.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez opcję 'język użytkownika', która jest używana jako część dynamicznej nazwy klasy przetwarzanej za pomocą funkcji eval.

Wielokrotne podatności na wstrzykiwanie SQL w Web4Future eCommerce Enterprise Edition 2.1 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) prod i (2) brid w pliku view.php, (3) bid w pliku viewbrands.php oraz (4) grp i (5) cat w pliku index.php.

Podatność typu SQL injection w pliku view.php w Hobosworld HobSR 1.0 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametrów (1) arrange i (2) p.

Wielokrotne podatności na wstrzykiwanie SQL w Web4Future eDating Professional 5 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) s, (2) pg i (3) sortb w pliku (a) index.php; (4) parametr cid w plikach (b) gift.php i (c) fq.php; oraz (5) parametr cat w pliku (d) articles.php.

W systemie Landshop Real Estate Commerce w wersji 0.6.3 i wcześniejszych występuje podatność na atak typu SQL injection w pliku ls.php. Umożliwia ona zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) start, (2) search_order, (3) search_type, (4) search_area oraz (5) keyword.

Podatność SQL injection w pliku calendar.php w Codewalkers ltwCalendar (znanym również jako PHP Event Calendar) w wersjach 4.2, 4.1.3 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr id.

Podatność SQL injection w pliku create.php w Widget Imprint w wersji 1.0.26 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr product_id.

W jax_calendar.php w Jax Calendar 1.34 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametry (1) cal_id, a potencjalnie także (2) Y i (3) m.

Stat.php w PHP Web Statistik 1.4 umożliwia zdalnym atakującym spowodowanie odmowy usługi (zużycie CPU) poprzez przesłanie dużej wartości lastnumber.

Help Desk Reloaded Free Help Desk nie usuwa ani nie chroni pliku install.php po zakończeniu instalacji, co pozwala zdalnym atakującym na uzyskanie uprawnień poprzez bezpośrednie żądanie do install.php, a następnie przejście do accountsetup.php i utworzenie nowego użytkownika.

Podatność SQL injection w pliku index.php w systemie Relative Real Estate Systems w wersji 1.02 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr mls.

Podatność na wstrzykiwanie SQL w SimpleBBS 1.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieokreślone parametry modułu wyszukiwania.

Podatność SQL injection w KBase Express 1.0.0 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr (1) id w pliku category.php oraz (2) parametry search w pliku search.php.

Podatność SQL injection w Widget Property 1.1.19 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry property_id, zip_code, property_type_id, price oraz city_id w pliku property.php.

Wielokrotne podatności na wstrzykiwanie SQL w PHP Lite Calendar Express 2.2 i wcześniejszych wersjach umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) cid i (2) catid w plikach (a) day.php, (b) week.php, (c) month.php oraz (d) year.php.

Podatność SQL injection w pliku messages.php w PHP-Fusion 6.00.109 umożliwia zdalnym atakującym uzyskanie informacji o ścieżkach oraz potencjalne wykonanie dowolnych poleceń SQL poprzez parametr srch_text w opcji Wyszukiwanie i Sortowanie w messages.php.