Injection SQL pour Invision Power Board

Cryptovirus a rapporté une vulnérabilité, classifiée comme "moyennement critique", pour Invision Power Board, qui pourrait être exploitée par un internaute malveillant pour effectuer des attaques du type injection SQL.

Les entrées envoyées au paramètre "search_term" du module "search" ne sont pas traitées correctement avant d’être utilisées dans des requêtes SQL. Cette erreur pourrait être exploitée pour injection du code SQL arbitraire.

L’exploitation pourrait permettre, par exemple, de récupérer les hash des identifiants des utilisateurs et des administrateurs, mais requiert la connaissance du préfix des tables. La vulnérabilité a été confirmée pour la version 3.0.1 de Invision Power Board.

Publié le 13-05-2010 dans le thème Réseau - Sécurité

Pays : International - Auteur : Eric Romang

Source :zataz

Alertes Sécurité