Sicherheitslücke in PHP-Fusion erlaubt SQL-Einspeisung
Über eine Schwachstelle in PHP-Fusion können Angreifer beliebigen SQL-Code in die Datenbank eines betroffenen Systems einspeisen.
Laut einem Bericht von Secunia tritt die Sicherheitslücke in Version 7.00.1 von PHP-Fusion auf. Andere Versionen der Anwendung sind unter Umständen ebenfalls betroffen. Die Schwachstelle entsteht durch die mangelhafte Bereinigung von Eingaben an den Parameter „subject“ in der Datei „message.php“. Durch gezielte Manipulation dieses Parameters können Angreifer eigenen SQL-Code in die Datenbank eines betroffenen Systems einspeisen und ausführen. Die neuste Version 7.00.2 von PHP-Fusion behebt diesen Mangel.