Показать сообщение отдельно
Soniks вне форума      Старый PHP-NUKE SQL-Иньекция в модуле Search #1  
Soniks
Администратор
Регистрация: 16.01.2005
Сообщения: 4,811


Пожаловаться на это сообщениеОтветить с цитированием

Посмотреть профиль Отправить персональное сообщение для Soniks Посетить домашнюю страницу Soniks Найти все сообщения от Soniks Добавить Soniks в список друзей  
21.02.2006, 19:11

Продукт: php-nuke

Версия: 7.5-7.9

Уровень: средний

Описание: Из-за отсутствия проверки переменной $query в модуле Search злоумышленник может произвести sql инъекцию и завладеть правами администратора и более серьезных последствий.

Устранение:
Открываем modules/Search/index.php
находим:
PHP код:
 $query stripslashes(check_html($query"nohtml")); 

заменяем на:
PHP код:
 $query addslashes(check_html($query"nohtml")); 
 
"Если бы вам удалось надавать под зад человеку, виноватому в большинстве ваших неприятностей - вы бы неделю не смогли сидеть".