CVE-2016-3694
Publiée le 2017-02-15 · Dernière modification le 2026-06-17
La version 2.0.0.0 (révision 9678) de Modified eCommerce Shopsoftware est affectée lorsque le module easybill n'est pas installé. Un attaquant distant peut envoyer des requêtes spécialement conçues vers le point de terminaison `easybillcsv.php` pour exécuter des commandes SQL arbitraires, ce qui pourrait lui permettre de voler, modifier ou supprimer des informations sensibles de la base de données. Cette attaque est facile à réaliser car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être exécutée via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Multiple SQL injection vulnerabilities in modified eCommerce Shopsoftware 2.0.0.0 revision 9678, when the easybill-module is not installed, allow remote attackers to execute arbitrary SQL commands via the (1) orders_status or (2) customers_status parameter to api/easybill/easybillcsv.php.