TUTOS远程SQL注入和跨站脚本执行漏洞

TUTOS远程SQL注入和跨站脚本执行漏洞

漏洞ID 1108181 漏洞类型 输入验证
发布时间 2004-09-20 更新时间 2005-10-20
图片[1]-TUTOS远程SQL注入和跨站脚本执行漏洞-安全小百科CVE编号 CVE-2004-2161
图片[2]-TUTOS远程SQL注入和跨站脚本执行漏洞-安全小百科CNNVD-ID CNNVD-200412-1185
漏洞平台 PHP CVSS评分 7.5
|漏洞来源
https://www.exploit-db.com/exploits/24616
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-200412-1185
|漏洞详情
TUTOS是一款基于WEB的具有个人和组日志管理、bug跟踪、安装管理、任务列表、注释本、文件处理、邮件箱、链接等等功能的系统。TUTOS多处对用户提交的参数缺少充分过滤,远程攻击者可以利用这个漏洞获得敏感信息,或破坏数据库。JoxeanKoret报告’/file/file_overview.php’脚本没有正确验证用户提供的’link_id’参数数据,如:http://[target]/file/file_overview.php?link_id=1005’asdf可导致SQL注入,造成数据库信息泄露或数据库破坏。另外’app_new.php’脚本没有过滤用户提供给’t’变量的HTML代码,构建特殊的URL,诱使用户访问,可导致敏感信息泄露,如用于验证的COOKIE信息。另外搜索字段也没有正确过滤用户提供的HTML数据。
|漏洞EXP
source: http://www.securityfocus.com/bid/11221/info

Tutos is reported prone to multiple remote input-validation vulnerabilities. These issues exist due to insufficient sanitization of user-supplied data and may allow an attacker to carry out cross-site scripting and SQL-injection attacks. 

These issue reportedly affect Tutos 1.1.2004-04-14.

http://www.example.com/file/file_overview.php?link_id=1005'asdf
|参考资料

来源:XF
名称:tutos-sql-injection(17444)
链接:http://xforce.iss.net/xforce/xfdb/17444
来源:SECUNIA
名称:12606
链接:http://secunia.com/advisories/12606/
来源:BID
名称:11221
链接:http://www.securityfocus.com/bid/11221
来源:BUGTRAQ
名称:20040918VulnerabilitiesinTUTOS
链接:http://www.securityfocus.com/archive/1/375757
来源:cvs.sourceforge.net
链接:http://cvs.sourceforge.net/viewcvs.py/tutos/tutos/php/file/file_overview.php?r1=1.11.2.1&r2;=1.11.2.2
来源:OSVDB
名称:10164
链接:http://www.osvdb.org/10164
来源:DEBIAN
名称:DSA-980
链接:http://www.debian.org/security/2006/dsa-980
来源:SECTRACK
名称:1011363
链接:http://securitytracker.com/id?1011363
来源:SECUNIA
名称:18954
链接:http://secunia.com/advisories/18954
来源:NSFOCUS
名称:6920
链接:http://www.nsfocus.net/vulndb/6920

相关推荐: Network Tool PHPNuke Addon Metacharacter Filtering Command Execution Vulnerability

Network Tool PHPNuke Addon Metacharacter Filtering Command Execution Vulnerability 漏洞ID 1102720 漏洞类型 Input Validation Error 发布时间 2…

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享