WorkforceROI XPede Sprc.ASP可插入SQL指令漏洞

漏洞信息详情

WorkforceROI XPede Sprc.ASP可插入SQL指令漏洞

CNNVD编号：CNNVD-200206-042
危害等级：高危-->
危害等级：高危
CVE编号： CVE-2002-0581
漏洞类型：输入验证
发布时间： 2002-04-19
威胁类型：远程
更新时间： 2005-10-20
厂商： workforceroi
漏洞来源： Cerberus Vulgaris※...

漏洞简介

XPede是一款基于WEB的项目审核软件，可运行在Microsoft Windows操作系统下。 XPede中的Sprc.ASP脚本对用户输入缺少充分正确的检查，可导致远程攻击者获得数据库信息。 XPede中的sprc.asp脚本是可以被任何用户执行格式时间表相关的任务操作，其中\"Qry\"选项可以使攻击者插入任意SQL命令，导致列出数据库中Xpede相关的用户密码信息，或者更改数据库信息，并可以结合利用错误配置和漏洞获得数据库服务器的root权限。此问题存在于XPede 4.1版本中，其他版本也可能存在此漏洞。

漏洞公告

临时解决方法：如果您不能立刻安装补丁或者升级，CNNVD建议您采取以下措施以降低威胁：

* 严格过滤用户输入的字符。厂商补丁： WorkforceROI ------------ 目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.workforceroi.com/index.shtml

参考网址

来源: BUGTRAQ 名称: 20020419 Xpede many vulnerabilities 链接:http://archives.neohapsis.com/archives/bugtraq/2002-04/0273.html 来源: BID 名称: 4555 链接:http://www.securityfocus.com/bid/4555 来源: XF 名称: xpede-sprc-sql-injection(8903) 链接:http://www.iss.net/security_center/static/8903.php

受影响实体

Workforceroi Xpede:4.1
Workforceroi Xpede:4.1

补丁

暂无

正文

WorkforceROI XPede Sprc.ASP可插入SQL指令漏洞

漏洞信息详情