PHPizabi notepad_body参数SQL注入漏洞

BUGTRAQ ID: 34223 PHPizabi是一款代码开源的在线交友、交流、婚介、商务合作系统。 PHPizabi的/theme/default/proc.inc.php模块中没有正确地验证用户所提交的notepad_body参数，远程攻击者可以通过提交恶意的查询请求执行SQL注入攻击。以下是有漏洞的代码段： <?php function bufferProcParse($buffer) { global $CONF; $tpl = new template; $tpl -> LoadThis($buffer); // HANDLE POSTED NOTEPAD DATA \\ /////////////////////////////////////////////////////// if \\ (isset($_GET[\"notepad_body\"])) { myQ(\"UPDATE `[x]users` SET `notepad_body` = \\ \'\".urldecode($_GET[\"notepad_body\"]).\"\' WHERE `id`=\'\".me(\"id\").\"\'\"); me(\"flush\"); } .. 0 Real!ty Medias PHPizabi v0.848b C1 HFP1 厂商补丁： Real!ty Medias -------------- 目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本： http://www.phpizabi.net/?L=home.index