Podatności Online-Examination-System

Wykryto podatność w itsmeravitejak Online-Examination-System do wersji e6208e630b14657999bbfe4c9912302d2a1e2449. Problem dotyczy funkcji Exam::startExam w pliku exam.php w module Exam Module, gdzie manipulacja argumentem topicid prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność w itsmeravitejak Online-Examination-System do wersji e6208e630b14657999bbfe4c9912302d2a1e2449. Dotyczy ona funkcji MySQLDB::topicslist w pliku exammanger.php komponentu AJAX Endpoint. Manipulacja argumentem subject prowadzi do SQL injection. Atak może być przeprowadzony zdalnie, a exploit jest już publicznie dostępny i może być użyty. Produkt działa w modelu rolling release, więc nie ma szczegółów wersji dla wydań podatnych ani zaktualizowanych. Projekt został poinformowany o problemie wcześnie poprzez zgłoszenie, ale jeszcze nie odpowiedział.

Wykryto podatność SQL injection w systemie Online-Examination-System (do wersji e6208e630b14657999bbfe4c9912302d2a1e2449). Podatność dotyczy funkcji MySQLDB::valid, MySQLDB::getresults, MySQLDB::noresults, MySQLDB::getExams, MySQLDB::latestExamID oraz MySQLDB::getreport w plikach results.php i include/database.php. Manipulacja argumentami id, user lub topic prowadzi do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Zidentyfikowano słabość w systemie Online-Examination-System (do wersji e6208e630b14657999bbfe4c9912302d2a1e2449). Podatność dotyczy nieznanej funkcji w plikach qsdb/usersdb/brandb/topicsdb/subjectsdb.php. Manipulacja argumentami query, qtype, sortname lub sortorder prowadzi do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W systemie Online-Examination-System (itsmeravitejak) wykryto lukę w funkcji isAdmin w pliku admin/admin.php. Manipulacja prowadzi do braku uwierzytelnienia, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany.

W itsmeravitejak Online-Examination-System do wersji e6208e630b14657999bbfe4c9912302d2a1e2449 wykryto słabość w nieznanej funkcji pliku dbtables.sql. Manipulacja może prowadzić do ujawnienia informacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Produkt działa w modelu rolling release, więc nie ma szczegółów wersji.

W Online Examination System 1.0 od projectworlds wykryto podatność w komponencie Feedback Form, w pliku feedback.php. Manipulacja argumentami Name/Subject prowadzi do cross-site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Podatność w Online Examination System 1.0 od code-projects. Nieznany kod w pliku /account.php?q=quiz pozwala na manipulację argumentami eid/n/t, co prowadzi do ataku XSS (Cross-Site Scripting). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.