Lücke in NovoBoard erlaubt SQL-Einspeisung

Laut einer Meldung von Security Reason tritt die Sicherheitslücke in der aktuellen Version 1.1.2 von NovoBoard auf. Andere Versionen der Anwendung sind unter Umständen ebenfalls betroffen. Bei NovoBoard handelt es sich um ein freies Bulletin-Board-System (BBS), das für LAMP-Systeme mit PHP und MySQL entwickelt wurde und sich sehr einfach aufsetzen lässt.

Die Schwachstelle entsteht auf der Startseite „index.php“. Durch die gezielte Manipulation von GET-Requests können Angreifer beliebigen SQL-Code in die Datenbank eines betroffenen Systems einspeisen. Auf diese Weise lassen sich Benutzerdaten verändern oder auslesen. Ein Patch liegt bislang nicht vor. (vgw)