MicroNetSoft RV Dealer Website - search.asp / showAlllistings.asp SQL Injection

CVE编号

CVE-2010-4362

利用情况

暂无

补丁情况

N/A

披露时间

2010-12-02

漏洞描述

Multiple SQL injection vulnerabilities in MicroNetsoft RV Dealer Website allow remote attackers to execute arbitrary SQL commands via the (1) selStock parameter to search.asp and the (2) orderBy parameter to showAlllistings.asp.

解决建议

目前厂商还没有提供此漏洞的相关补丁或者升级程序，建议使用此软件的用户随时关注厂商的主页以获取最新版本： http://www.micronetsoft.com/store/scripts/prodView.asp?idproduct=77

参考链接
http://secunia.com/advisories/41319
http://www.exploit-db.com/exploits/15629
http://www.securityfocus.com/bid/45089

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	micronetsoft	rv_dealer_website	*	-

CVSS3评分 7.5

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 N/A
• 用户交互 无
• 可用性 部分地
• 保密性 部分地
• 完整性 部分地

AV:N/AC:L/Au:N/C:P/I:P/A:P

CWE-ID	漏洞类型
CWE-89	SQL命令中使用的特殊元素转义处理不恰当（SQL注入）

Exp相关链接

• https://www.exploit-db.com/exploits/15629

- avd.aliyun.com