MyBB calendar.php「month」パラメーターのSQLi

critical Nessus プラグイン ID 20342

Language:

概要

リモートのWebサーバーでホストしているPHPアプリケーションは、 SQLインジェクションの脆弱性の影響を受けます。

説明

リモートホストにインストールされているMyBBのバージョンは、calendar.phpスクリプトの「month」パラメーターに対するユーザー指定の入力の不適切なサニタイズが原因で、SQLインジェクションの脆弱性の影響を受けます。リモートの認証されていない攻撃者がこの問題を悪用してSQLクエリを操作し、機密情報の漏洩やデータの改ざんにつながる可能性があります。

アプリケーションは複数のSQLインジェクションの脆弱性の影響も受けていると報告されています。その多くは、PHPの「register_globals」設定が無効で「magic_quotes_gpc」設定が有効の場合でも悪用される可能性があります。ただし、Nessusではこれらの追加の問題をテストしていません。