Powie pforum sql插入漏洞

QQ空间 新浪微博 微信 QQ facebook twitter
漏洞ID 1204713 漏洞类型 输入验证
发布时间 2002-02-16 更新时间 2006-11-07
CVE编号 CVE-2002-0287 CNNVD-ID CNNVD-200205-118
漏洞平台 N/A CVSS评分 10.0
|漏洞来源
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-200205-118
|漏洞详情
pforum是采用php和mysql实现的WWW论坛。Powie'sPHPForum1.14易受sql插入攻击,攻击者可以未经验证获取管理员权限。假设没有允许PHP的magic_quotes_gpc配置,用"admin'ORusername='admin"做用户名进行登录。如果确实存在admin用户,攻击者将非法以admin用户身份登录,无需口令验证。如果admin用户就是管理员,攻击者将获取论坛管理权限。修改口令的表单处存在同样漏洞。当你遗失口令后,一般通过注册时登记的Email获取一个ID,用这个ID就可以修改自己的口令。攻击者访问changepass.php,提交如下ID,"123'or'a'='a",于是可以任意修改口令。由于论坛管理员无法访问php.ini,也就无法简单地修补该漏洞。需要WEBServer系统管理员的帮助。注意,缺省安装后magic_quotes_gpc就是允许的。
|参考资料

来源:www.powie.de
链接:http://www.powie.de/news/index.php
来源:BUGTRAQ
名称:20020216pforum:mysql-injection-bug
链接:http://marc.theaimsgroup.com/?l=bugtraq&m=101389284625019&w=2
来源:BID
名称:4114
链接:http://www.securityfocus.com/bid/4114
来源:XF
名称:pforum-quotes-sql-injection(8203)
链接:http://www.iss.net/security_center/static/8203.php