SQL Syntax Error bei andvanced_search_result.php

[Mediagenie System]

Guten Tag,

Ich möchte Ihnen im Folgenden zeigen, wie man einen SQL-Fehler bei der Suche provozieren kann.

Durch diese Sicherheitslücke können zwar keine Manipulationen oder SQL-Injections durchgeführt werden, jedoch werden SQL Fehler ausgegeben und die Seite lädt nicht korrekt.

Hierzu sucht man nach folgendem Befehl:
-3677%'))) OR (7063=7063) AND ((('%'='

oder ganz simpel nach:
1)) or ((2

Dies kann man direkt im Demoshop testen:
http://demo.modified-shop.org/trunk/advanced_search_result.php?keywords=-3677%25%27%29%29%29%20OR%20%287063%3D7063%29%20AND%20%28%28%28%27%25%27%3D%27

Dieses Problem betrifft viele Shopsysteme die auf xt:Commerce basieren.
Beispiel:
http://www.gambio-shop.de/shop1/advanced_search_result.php?keywords=-3677%25%27%29%29%29+OR+%287063%3D7063%29+AND+%28%28%28%27%25%27%3D%27

Der Fehler ist auf die Funktion xtc_parse_search_string() in der Datei inc/xtc_parse_search_string.inc.php zurückzuführen, bei der Klammern im Zuge der Suche verwendet werden.

Mit freundlichen Grüßen
Jürgen H.
Mediagenie System UG

[Gerhard Waldemair]

In 5998:

fix #160 - fix function xtc_parse_search_string()

[Ronald Parcinski]

In 5999:

fix #160 - fix function xtc_parse_search_string()

[Ronald Parcinski]

besserer fix r5999
xtc_parse_search_string()

Suchen nach

if ($objects[$i] == ')') $balance ++;

Danach einfügen

if ($balance > 0) return false; //misconfiguration of clamps