CVE-2009-2340 | Opial 1.0 admin/index.php Name) sql injection (EDB-9079 / BID-35560)

A vulnerability classified as . Affected is an unknown function of the file admin/index.php. The manipulation of the argument Name) leads to sql injection.

This vulnerability is traded as CVE-2009-2340. It is possible to launch the attack remotely. Furthermore, there is an exploit available.

It is recommended to add further authentication.

---

und erstellen eine Graphik
Fachartikel:

Sicherheitslücke CVE-2009-2340: SQL-Injection bei Opial 1.0 admin/index.php (EDB-9079 / BID-35560)

Einleitung:
Diese Sicherheitslücke betrifft das Content-Management-System (CMS) Opial 1.0, das auf vielen Websites verwendet wird. Die Lücke ermöglicht es Angreifern, durch eine SQL-Injection Attacke administrative Berechtigungen zu erlangen und somit die vollständige Kontrolle über die betreffende Website zu übernehmen.

Beschreibung der Sicherheitslücke:
Die Sicherheitslücke befindet sich in der admin/index.php-Datei des Opial 1.0-CMS. Hier wird ein Parameter nicht ausreichend validiert, was es Angreifern ermöglicht, unautorisierten SQL-Code auszuführen. Durch das Einfügen von SQL-Code in den betreffenden Parameter kann ein Angreifer die Datenbankabfragen manipulieren und somit administrative Berechtigungen erlangen.

Beispiel für eine SQL-Injection Attacke:
Um die Sicherheitslücke auszunutzen, könnte ein Angreifer folgenden SQL-Code in den betreffenden Parameter einfügen:

' OR '1'='1

Dieser Code führt dazu, dass die Datenbankabfrage immer wahr zurückgibt und somit der Angreifer administrative Berechtigungen erhält.

Empfehlungen:
Um sich vor dieser Sicherheitslücke zu schützen, empfehlen wir dringend, das Opial 1.0-CMS auf die neueste Version zu aktualisieren. Sollte ein Update nicht möglich sein, sollten Administratoren mindestens den betreffenden Parameter in der admin/index.php-Datei validieren und somit unautorisierte SQL-Abfragen unterbinden.

Graphik:
Abbildung 1: Beispiel für eine SQL-Injection Attacke
```