CVE-2006-6109

CandyPress Store 3.5.2.14 est affecté par des failles d'injection SQL dans ses pages de politique et de liste de produits. Un attaquant non authentifié disposant d'un accès réseau peut envoyer des requêtes spécialement conçues vers ces pages pour exécuter des commandes de base de données arbitraires, lui permettant potentiellement de consulter, modifier ou supprimer des données sensibles. Comme cela ne nécessite ni authentification ni interaction de l'utilisateur et présente une faible complexité, cette faille est relativement facile à exploiter.