phpmyfamily多个输入验证漏洞
发布日期：2010-09-17
更新日期：2010-09-19
受影响系统：
phpmyfamily phpmyfamily 1.4.2
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 43293
phpmyfamily是一个动态家谱Web站点构建工具，可以让地理分散的家庭成员合作并共享研究。
phpmyfamily中存在多个输入验证错误，远程攻击者可以通过提交恶意参数请求执行SQL注入、跨站脚本、目录遍历、跨站请求伪造等攻击。
1) 没有正确地过滤提交给inc/passwdform.inc.php脚本的reason参数、提交给mail.php脚本的referer参数和提交给track.php脚本的person参数便返回给了用户，这可能导致跨站脚本攻击。
2) phpmyfamily未经执行有效性检查便允许用户通过HTTP请求执行某些操作，这可能导致跨站请求伪造攻击。
3) 当func设置为email时，phpmyfamily没有正确的过滤提交给my.php的pwdEmail参数，这可能导致SQL注入攻击。
4) 在action设置为unsub且在设置了person的情况下，phpmyfamily没有正确的过滤提交给track.php的email参数，这这可能导致SQL注入攻击。
5) 在func设置为delete、area设置为transcript且设置了person的情况下，phpmyfamily没有正确的过滤提交给passthru.php的transcript参数，这这可能导致SQL注入或目录遍历攻击。
测试方法：
--------------------------------------------------------------------------------
警 告
以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！