CVE-2014-5104
Publiée le 2014-07-28 · Dernière modification le 2026-06-17
La version 2.1.1 d'Ol-commerce est affectée par plusieurs failles d'injection SQL dans ses pages de création de compte et d'inscription des affiliés. Un attaquant distant non authentifié peut les exploiter en envoyant des requêtes web spécialement conçues pour exécuter des commandes de base de données arbitraires, ce qui pourrait lui permettre de consulter, modifier ou supprimer des données sensibles. Comme aucune connexion n'est requise et que l'attaque est simple à exécuter via le réseau, le risque est significatif pour tout serveur utilisant ce logiciel.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Multiple SQL injection vulnerabilities in ol-commerce 2.1.1 allow remote attackers to execute arbitrary SQL commands via the (1) a_country parameter in a process action to affiliate_signup.php, (2) affiliate_banner_id parameter to affiliate_show_banner.php, (3) country parameter in a process action to create_account.php, or (4) entry_country_id parameter in an edit action to admin/create_account.php.