Null News脚本实现上存在输入验证漏洞

Null News脚本实现上存在输入验证漏洞  　　受影响系统： 

　　nullbranded.tk Null News 2005.7.27 

　　描述： 

　　BUGTRAQ ID: 17300 

　　CVE(CAN) ID: CVE-2006-1534 

　　Null News是一款基于PHP的新闻管理程序。 

　　Null News的多个脚本实现上存在输入验证漏洞，远程安全者可能利用这些漏洞对主机执行SQL注入安全。 

　　Null News的sub.php和unsub.php脚本没有正确过滤user_username参数的输入，lostpass.php、sub.php和unsub.php脚本没有正确过滤user_email参数的输入，允许安全者通过注入恶意的SQL代码操控SQL查询。成功安全要求关闭了magic_quotes_gpc。 

　　<*来源：Aliaksandr Hartsuyeu （alex@evuln.com） 

　　链接：http://secunia.com/advisories/19413/print/ 

　　 http://marc.theaimsgroup.com/?l=bugtraq&m=114461218117362 

　　*> 

　　目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本： 

　　http://nullbranded.tk/