> osCMax SQL注入漏洞

osCMax SQL注入漏洞

CNNVD-ID编号	CNNVD-201204-023	CVE编号	CVE-2012-1665
发布时间	2012-04-06	更新时间	2015-05-21
漏洞类型	SQL注入	漏洞来源	High-Tech Bridge SA Security Research Lab
危险等级	高危	威胁类型	远程
厂商	oscmax

漏洞介绍

osCMax是一套基于PHP的开源电子商务系统/购物车应用程序，它支持多语言、SSL安全交易、多种支付方式、地区运费换算、打印发票等。

osCMax 2.5.1之前版本的管理面板中存在SQL注入漏洞，该漏洞源于admin/login.php脚本没有充分过滤‘username’参数；admin/stats_monthly_sales.php脚本没有充分过滤‘status’参数；admin/create_account_process.php脚本没有充分过滤‘country’参数。远程攻击者可利用该漏洞执行任意SQL命令。

漏洞补丁

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

http://www.oscmax.com/blog/michael_s/oscmax_v251_has_been_released_security_update

参考网址

来源:www.htbridge.com

链接：https://www.htbridge.com/advisory/HTB23081

来源:BUGTRAQ

链接：http://archives.neohapsis.com/archives/bugtraq/2012-04/0021.html

来源:bugtrack.oscmax.com

链接：http://bugtrack.oscmax.com/view.php?id=1165

来源:OSVDB

链接：http://www.osvdb.org/80901

来源:OSVDB

链接：http://www.osvdb.org/80900

来源:OSVDB

链接：http://www.osvdb.org/80902

来源:www.oscmax.com

链接：http://www.oscmax.com/blog/michael_s/oscmax_v251_has_been_released_security_update

来源:SECUNIA

链接：http://secunia.com/advisories/48678

受影响实体

Oscmax Oscmax:2.5.0

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201204-023