DCP-Portalの複数のスクリプトのSQLインジェクション

high Nessus プラグイン ID 16478

Language:

概要

リモートWebサーバーに、いくつものSQLインジェクション攻撃やクロスサイトスクリプティング攻撃を受けやすいPHPアプリケーションが含まれています。

説明

リモートホストは、PHPを利用したコンテンツ管理システムであるDCP-Portalを実行しています。

リモートホストにインストールされているバージョンのDCP-Portalは、データベースクエリまたは動的Webページ生成のいずれかで使用する前のパラメーターの多くに対してユーザーが入力した入力をサニタイズしません。攻撃者がこれらの問題を悪用し、このようなクエリを操作して、管理者パスワードを明らかにしたり、基盤となるデータベースに対して攻撃を仕掛けたり、認証Cookieを盗んだりする可能性があります。SQLインジェクションの欠陥の悪用が成功するには、PHPの「magic_quotes_gpc」設定が無効になっている必要があります。