漏洞关键信息 漏洞概述 文档标题: LandShop CMS v0.9.2 - Multiple Web Vulnerabilities 参考来源: http://vulnerability-lab.com/get_content.php?id=485 发布日期: 2012-03-31 漏洞实验室ID (VL-ID): 485 产品与服务介绍 SAMEDIA LandShop® 是一个用于通过互联网进行房地产营销、销售或租赁的创新型工具。 LandShop® 用户界面设计灵活、透明且快速，能够立即显示业务核心并帮助访问者轻松找到感兴趣的项目。 漏洞摘要 一名漏洞实验室研究员在 LandShop CMS v0.9.2 中发现多个Web漏洞。 披露时间线 2012-03-31：公共或非公开披露 漏洞状态 已发布 利用技术 远程 严重性级别 关键 技术细节与描述 1.1 远程SQL注入漏洞 漏洞影响LandShops Web应用程序v0.9.2版本。 攻击者可以注入并执行SQL命令。 受影响模块： 、 、 。 2.1 持久输入验证漏洞 攻击者可以在应用程序侧注入恶意脚本。 成功利用可导致会话劫持或持久上下文操作。 受影响模块：Create Object - Input/Output Name。 2.2 跨站请求伪造（CSRF）漏洞 需要有高等级的用户交互才能利用。 成功利用可导致账户访问。 受影响模块：Edit Users Form。 证明概念（PoC） SQL注入漏洞可通过远程攻击者利用，无需用户交互。 持久性Web漏洞需要中等到高程度的用户交互。 安全风险 1.1: SQL注入漏洞安全风险评估为关键。 2.1: 持久输入验证漏洞安全风险评估为中等。 2.2: CSRF漏洞安全风险评估为低。 相关人员 漏洞研究员：the_storm (the_storm@vulnerability-lab.com) ``` 这个Markdown总结了关键的漏洞信息，包括漏洞类型、受影响的模块、利用方式以及安全风险等。