[公开漏洞]某知名diy配件厂商一处sql注入,可跨多个数据库,数据挺多的

某知名diy配件厂商一处sql注入,可跨多个数据库,数据挺多的 相关厂商： 七彩虹 漏洞作者：Mosuan 提交时间：2014-05-03 11:31 公开时间：2014-06-17 11:32 漏洞类型：SQL注射漏洞 危害等级：高 自评Rank：20 漏洞状态： 未联系到厂商或者厂商积极忽略 漏洞来源：http://www.wooyun.org Tags标签： 数据库账户权限过高 漏洞详情 披露状态：

2014-05-03：积极联系厂商并且等待厂商认领中，细节不对外公开
2014-06-17：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

注入

详细说明：

http://www.colorful.cn/ColorfulProductdetails.aspx?id=13014094ae9ed39042e1b7de976f95bd5f25

影响很大啊，因为你们的很多分站后台暴露了啊....这些数据库很多都是分站的吧？只是我懒得测试了....其实积分之类的系统，包括商城、bbs是不是很多数据？

漏洞证明：

我是不是很善良？没有利用你们网站的漏洞？善良你就送我个你们的二合一电脑的，看着蛮好的....其实我很想换台ipad，可惜wb不够啊，加上技术菜....

修复方案：

过滤

版权声明：转载请注明来源 Mosuan@乌云 漏洞回应 厂商回应：

未能联系到厂商或者厂商积极拒绝