OsCommerce es un programa de comercio electrónico y administración online. Desarrollado en php por Harald Ponce de Leon y lanzado el 12 marzo de 2000, requiere de una base de datos MySQL y un servidor Apache.
Recursos afectados
Oscomerce v2x.
Detalle e Impacto de la
vulnerabilidad
Se ha publicado una vulnerabilidad en el foro oficial de Oscomerce que permite la inyección de SQL. El uso de un saneamiento inadecuado de un parámetro en un comando select en la base de datos permitiría a un atacante acceder a los datos de la misma, pudiéndose llegar a insertar un nuevo usuario y contraseña que de acceso total a la aplicación de comercio.
Recomendación
Oscomerce ha publicado la modificación necesaria para solucionar esta vulnerabilidad en su repositorio de codigo. https://github.com/gburton/oscommerce2/commit/e4d90eccd7d9072ebe78da4c38fb048bfe31c902
Más información
- Oscommerce 0day Sql Injection Vulnerability http://forums.oscommerce.com/topic/396035-oscommerce-0day-sql-injection-vulnerability/
Fuente: INTECO
