SQL-Einspeisung gegen Xpoze gemeldet
Über eine Schwachstelle in Xpoze können Angreifer beliebigen SQL-Code in die Datenbank eines betroffenen Systems einspeisen. Ein Patch liegt bereits vor.
Nach einer Meldung von Secunia tritt die Sicherheitslücke in der aktuellen Version 3 von Xpoze auf. Andere Versionen sind unter Umständen ebenfalls betroffen. Die Schwachstelle entsteht durch die mangelhafte Bereinigung von Eingaben an den Parameter „uid“ an die Datei „user.html“. Durch gezielte Manipulation können Angreifer beliebigen SQL-Code einspeisen. Der Hersteller bietet seinen Kunden bereits einen Patch gegen diesen Mangel an. (vgw)