漏洞关键信息 文档标题 myCare2x CMS - Multiple Web Vulnerabilities 漏洞 trumpetosXEihe 温实验室编号 (VL-ID) 524 漏洞披露时间线 2012-05-03: 公开或非公开披露 发现状态 已发布 利用技术 远程 严重程度 高 技术细节与描述 1.1 SQL注入漏洞 漏洞描述: myCare2x内容管理系统中存在多个远程SQL注入漏洞，允许远程攻击者注入/执行SQL命令，导致数据库和应用程序被利用受影响的应用程序数据库和应用程序被危 país. 受影响模块: - &aktion + &callurl - dept_nr - pid - Eintrag - name_last 1.2 持续输入验证漏洞 漏洞描述: myCare2x内容管理系统中存在多个持续输入验证漏洞，允许远程攻击者在应用程序端注入恶意脚本代码，导致session hijacking或 sustainable content manipulation. 受影响模块: - New Person - Insert new Person - Firstname, Lastname & Nickname - Index - Listing (index.php - Search Results - Name (middle) + Person Data Listing (right)) 1.3 持续跨站点脚本漏洞 漏洞描述: myCare2x内容管理系统中存在多个非持久性跨站点脚本漏洞，允许远程攻击者窃取web site顾客、管理员的会话，导致账户盗窃、欺诈和客户防护的content manipulation. 受影响模块: - mycare_ward_print - Favorite - mycare2x_pat_info - Action - mycare2x_proc_search - LN - zusatzcode 漏洞利用实例 (PoC) SQL注入示例: - - 等等 持续输入验证示例: - 跨站点脚本示例: - 安全风险 1.1 SQL注入漏洞: 风险等级被评估为tfJzIDiyy interchange系. 1.2 持续输入验证漏洞: 风险等级被评估为Intermediate flight下半球内. 1.3 持续跨站点脚本漏洞: 风险等级被评估为低ter初步.