Super Simple Blog Script entry 參數 SQL 插入
high Nessus Plugin ID 50048
語系：
概要
遠端 Web 伺服器主控的一個 PHP 應用程式受到一個 SQL 插入弱點影響。說明
遠端 Web 伺服器上主控的遠端 Super Simple Blog Script 安裝受到一個 SQL 插入弱點影響，該弱點是因為其「comments.php」指令碼未正確清理在「entry」參數中輸入，便將其用於資料庫查詢所導致。無論 PHP 的 'magic_quotes_gpc' 設定為何，未經驗證的遠端攻擊者可利用此問題操控資料庫查詢，進而導致敏感資訊洩漏、攻擊基礎資料庫等情況。
請注意，應用程式可能也會受到一個相關本機檔案包含弱點影響，不過 Nessus 尚未針對此問題進行測試。
解決方案
升級至 Super Simple Blog Script 2.56 或更新版本。Plugin 詳細資訊
嚴重性: High
ID: 50048
檔案名稱: super_simple_blog_entry_parameter_sqli.nasl
版本: 1.7
類型: remote
系列: CGI abuses
已發布: 2010/10/20
已更新: 2021/1/19
支援的感應器: Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: High
基本分數: 7.5
時間分數: 6.5
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
弱點資訊
必要的 KB 項目: www/super_simple_blog
排除在外的 KB 項目: Settings/disable_cgi_scanning
可輕鬆利用: No exploit is required
修補程式發佈日期: 2009/8/6
弱點發布日期: 2009/7/17
參考資訊
CVE: CVE-2009-2553
BID: 43524
CWE: 89