GaleriaSHQIP 'index.php'SQL注入漏洞

漏洞介绍

GaleriaSHQIP是一个基于PHP+MySQL开发的照片管理系统。

GaleriaSHQIP 1.0版本中的index.php文件中存在SQL注入漏洞。当magic_quotes_gpc禁用时，远程攻击者可以借助album_id参数执行任意SQL命令。

漏洞补丁

目前厂商还没有提供此漏洞的相关补丁或者升级程序，建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.galeriashqip.com/

参考网址

来源: XF

名称: galeriashqip-albumid-sql-injection(61456)

链接：http://xforce.iss.net/xforce/xfdb/61456

来源: MISC

链接：http://www.xenuser.org/documents/security/galeriaSHQIP_sqli.txt

来源: EXPLOIT-DB

名称: 14826

链接：http://www.exploit-db.com/exploits/14826

来源: SECUNIA

名称: 41113

链接：http://secunia.com/advisories/41113

来源: MISC

链接：http://packetstormsecurity.org/1008-exploits/galeriashqip-sql.txt

受影响实体

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201009-012