SOHU某频道分站SQL注射漏洞

漏洞概要

缺陷编号：WooYun-2010-017

漏洞标题：SOHU某频道分站SQL注射漏洞

相关厂商：Sohu.com

漏洞作者：我勒个去

提交时间：2010-07-14 16:56

公开时间：2010-08-18 16:37

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

Tags标签：

漏洞详情

披露状态：

2010-07-14: 细节已通知厂商并且等待厂商处理中
1970-01-01: 厂商已经确认，细节仅向厂商公开
1970-01-11: 细节向核心白帽子及相关领域专家公开
1970-01-21: 细节向普通白帽子公开
1970-01-31: 细节向实习白帽子公开
2010-08-18: 细节向公众公开

简要描述：

SOHU某频道分站SQL注射漏洞,该注射漏洞出现在update语句中，且发生在where语句前，危害较大，可能写任意数据到数据库中，或造成信息泄露或DB DOS

详细说明：

漏洞证明：

http://csldata.sports.sohu.com/player.php?regnum=MA00300&season=2008'

修复方案：

对输入参数进行过滤

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：7

确认时间：2010-07-14 16:56

厂商回复：

非常感谢. 漏洞正在修复中 🙂

最新状态：

暂无

评价

  1. 2010-01-01 00:00 he1renyagao 白帽子 | Rank:224 漏洞数:28)

    mark

  2. 2010-01-01 00:00 白加黑 白帽子 | Rank:17 漏洞数:5)

    貌似现在还有问题的～

  3. 2010-01-01 00:00 进击的zjx 白帽子 | Rank:259 漏洞数:20)

    现在还报错。。。修了5年哈哈哈

  4. 2010-01-01 00:00 theone 白帽子 | Rank:0 漏洞数:0)

    爱过。

点赞(0)