SQL Injection und Persistent Cross-Site Scripting im PHP Event Calendar (SYSS-2021-048/-049)

Bei einer Sicherheitsanalyse wurden zwei schwerwiegende Sicherheitslücken in der Anwendung "PHP Event Calendar" gefunden.
Zum einen wurde ein Fehler entdeckt, der es erlaubt, über die Loginfunktion Befehle direkt an das Datenbanksystem abzusetzen.
Dies kann dazu missbraucht werden, die Datenbank unautorisiert auszulesen, oder die Loginfunktion zu umgehen.
Im schlimmsten Fall kann das Datenbanksystem komplett kompromittiert werden.

Des Weiteren wurde eine Schwachstelle entdeckt, die es Angreifenden erlaubt, bösartigen JavaScript-Code in die Webanwendung zu injizieren.
Diese Schwachstelle kann dazu missbraucht werden, um die Sitzung anderer Nutzer zu kompromittieren.

Detaillierte Informationen zu den gefundenen Schwachstellen finden Sie in unseren Security Advisories:

• SYSS-2021-048
• SYSS-2021-049

During a recent assessment, two severe vulnerabilities were found in the product "PHP Event Calendar".
Firstly, it was discovered that the login form allows attackers to send malicious commands directly to the database.
This can be abused to access the database in an unauthorized way or to bypass the login function.
In a worst-case scenario, the database system can be compromised.

Furthermore, a vulnerability was discovered which allows attackers to inject malicious JavaScript code into the application.
This vulnerability can be abused to perform actions in the context of other users or to compromise the attacked site.

You will find detailed information about these security issues in our Security Advisories:

• SYSS-2021-048
• SYSS-2021-049

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.