osCMax SQL注入漏洞

漏洞介绍

osCMax是一套基于PHP的开源电子商务系统/购物车应用程序，它支持多语言、SSL安全交易、多种支付方式、地区运费换算、打印发票等。

osCMax 2.5.1之前版本的管理面板中存在SQL注入漏洞，该漏洞源于admin/login.php脚本没有充分过滤‘username’参数；admin/stats_monthly_sales.php脚本没有充分过滤‘status’参数；admin/create_account_process.php脚本没有充分过滤‘country’参数。远程攻击者可利用该漏洞执行任意SQL命令。

漏洞补丁

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

http://www.oscmax.com/blog/michael_s/oscmax_v251_has_been_released_security_update

参考网址

来源:www.htbridge.com

链接：https://www.htbridge.com/advisory/HTB23081

来源:BUGTRAQ

链接：http://archives.neohapsis.com/archives/bugtraq/2012-04/0021.html

来源:bugtrack.oscmax.com

链接：http://bugtrack.oscmax.com/view.php?id=1165

来源:OSVDB

链接：http://www.osvdb.org/80901

来源:OSVDB

链接：http://www.osvdb.org/80900

来源:OSVDB

链接：http://www.osvdb.org/80902

来源:www.oscmax.com

链接：http://www.oscmax.com/blog/michael_s/oscmax_v251_has_been_released_security_update

来源:SECUNIA

链接：http://secunia.com/advisories/48678

受影响实体

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201204-023