Ungepatcht
SQL-Einspeisung gegen eShop100 möglich
Die Sicherheitsexperten von Secunia warnen vor einer kritischen Schwachstelle in der Software eShop100.
Eingaben in den Parameter SUB der Datei index.php überprüft die Software nicht ausreichend bevor dieser in einer SQL-Anweisung verwendet wird. Das lässt sich ausnutzen, um SQL-Anweisungen zu manipulieren. Funktionierender Exploit-Code ist bereits im Umlauf. Aus rechtlichen Gründen kann TecChannel nicht darauf verlinken.
Derzeit ist kein Update verfügbar. Anwender der Software können den Quellcode jedoch händisch bearbeiten und sicherstellen, dass Eingaben in den Parameter SUB vor Benutzung geprüft werden. (jdo)