CVE-2013-1803 in PHP-Fusion
要約
〜によって VulDB • 2026年05月14日
PHP-Fusion 7.02.06 以前のバージョンには、複数のSQLインジェクション脆弱性が存在します。これにより、(1) downloads.phpへのorderbyパラメータを通じて、リモート攻撃者が任意のSQLコマンドを実行できます。または、特定の権限を持つリモート認証済みユーザーが、(2) forum/postedit.phpの編集アクションにおける「delete_attach_」で始まるパラメータ名、(3) forum/postnewthread.phpのnewthreadアクションにおけるpoll_opts[]パラメータ、(4) pm_email_notify、(5) pm_save_sent、(6) pm_inbox、(7) pm_sentbox、または(8) pm_saveboxパラメータをadministration/settings_messages.phpに対して、(9) thumb_compression、(10) photo_watermark_text_color1、(11) photo_watermark_text_color2、または(12) photo_watermark_text_color3パラメータをadministration/settings_photo.phpに対して、(13) enableパラメータをadministration/bbcodes.phpに対して、(14) news_image、(15) news_image_t1、または(16) news_image_t2パラメータをadministration/news.phpに対して、(17) news_idパラメータをadministration/news.phpの編集アクションに対して、または(18) article_idパラメータをadministration/articles.phpの編集アクションに対して使用して、任意のSQLコマンドを実行できます。 注：Authenticate.class.phpにおけるユーザーIDクッキーの問題は、すでにCVE-2013-7375でカバーされています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.