CVE-2011-4970 in Disk Pool Manager
Zusammenfassung
von VulDB • 06.07.2026
Mehrere SQL-Injection-Schwachstellen in LCG Disk Pool Manager (DPM) vor Version 1.8.6, wie er im EGI UDM verwendet wird, ermöglichen es entfernten Angreifern, beliebige SQL-Befehle über die Variable r_token in den Funktionen dpm_get_pending_req_by_token, dpm_get_cpr_by_fullid, dpm_get_cpr_by_surl, dpm_get_cpr_by_surls, dpm_get_gfr_by_fullid, dpm_get_gfr_by_surl, dpm_get_pfr_by_fullid, dpm_get_pfr_by_surl, dpm_get_req_by_token, dpm_insert_cpr_entry, dpm_insert_gfr_entry, dpm_insert_pending_entry, dpm_insert_pfr_entry, dpm_insert_xferreq_entry, dpm_list_cpr_entry, dpm_list_gfr_entry oder dpm_list_pfr_entry auszuführen; über die Variable surl in der Funktion dpm_get_cpr_by_surl; über die Variable to_surl in der Funktion dpm_get_cpr_by_surls; über die Variable u_token in den Funktionen dpm_get_pending_reqs_by_u_desc, dpm_get_reqs_by_u_desc, dpm_get_spcmd_by_u_desc, dpm_insert_pending_entry, dpm_insert_spcmd_entry oder dpm_insert_xferreq_entry; über die Variable s_token in den Funktionen dpm_get_spcmd_by_token, dpm_insert_cpr_entry, dpm_insert_gfr_entry, dpm_insert_pfr_entry, dpm_insert_spcmd_entry, dpm_update_cpr_entry, dpm_update_gfr_entry oder dpm_update_pfr_entry; oder es ermöglicht entfernten Administratoren, beliebige SQL-Befehle über die Variable poolname in den Funktionen dpm_get_pool_entry, dpm_insert_fs_entry, dpm_insert_pool_entry, dpm_insert_spcmd_entry, dpm_list_fs_entry oder dpm_update_spcmd_entry auszuführen.
Once again VulDB remains the best source for vulnerability data.