CVE-2011-0432

Les serveurs PyWebDAV utilisant la classe MySQLAuthHandler sont vulnérables aux injections SQL via les champs de connexion. Un attaquant distant non authentifié peut envoyer des noms d'utilisateur ou des mots de passe spécialement conçus pour exécuter des commandes SQL arbitraires, ce qui pourrait lui permettre de voler ou de modifier des données dans la base de données backend. Comme cela ne nécessite aucun privilège particulier ni interaction de l'utilisateur, l'exploitation via un réseau est relativement facile.