PHPShop存在多個安全漏洞
更新時間：2006年10月09日 00:00:00 作者：
受影響系統(tǒng)：
phpShop phpShop 0.6.1-b
詳細描述：
phpShop是一款基于PHP的電子商務程序，可方便的擴展WEB功能。phpShop存在多個安全問題，遠程攻擊者可以利用這些漏洞攻擊數據庫，獲得敏感信息，執(zhí)行任意腳本代碼。
具體問題如下：
1、SQL注入漏洞：
當更新會話時存在一個SQL注入問題，可以對"page"變量提交惡意SQL命令而修改原有SQL邏輯，同樣對"product_id"和"offset"變量進行注入也存在同樣問題。
2、用戶信息泄露漏洞：
通過查詢"account/shipto"模塊，可獲得大量客戶信息。如果用戶以合法帳戶登錄，也可能查看管理員信息。這些信息包括客戶的地址，公司名等等信息。
3、跨站腳本執(zhí)行攻擊：
多個參數對用戶提交的URI參數缺少充分過濾，提交包含惡意HTML代碼的數據，可導致觸發(fā)跨站腳本攻擊，可能獲得目標用戶的敏感信息。
目前廠商還沒有提供補丁或者升級程序。
相關文章
桌面中心(四)數據顯示...2006-10-10
windows8.1下Apache+Php+MySQL配置步驟
這篇文章主要介紹了windows8.1下Apache+Php+MySQL配置步驟，需要的朋友可以參考下2015-10-10
模擬xcopy的函數...2006-10-10![[FAQ]PHP中的一些常識：類篇](http://img.jbzj.com/images/xgimg/bcimg3.png)
[FAQ]PHP中的一些常識：類篇...2006-10-10
PHP 在變量定義中不需要（或不支持）明示的類型定義；變量類型是根據使用該變量的上下文所決定的。2009-10-10
數組的本質：管理和操作一組變量,成批處理，下面為大家介紹下數組的分類、數組的分類及使用說明，感興趣的朋友可以了解下哈2013-06-06
在PHP3中實現SESSION的功能（三）...2006-10-10
PHP PDOStatement::bindColumn講解
今天小編就為大家分享一篇關于PHP PDOStatement::bindColumn講解，小編覺得內容挺不錯的，現在分享給大家，具有很好的參考價值，需要的朋友一起跟隨小編來看看吧2019-01-01
配置最新的PHP加MYSQL服務器...2006-10-10
上一篇文章我們闡述php.ini配置原理，本文我們來講動態(tài)修改php配置,需要的朋友可以參考下2014-10-10