CVE:CVE-2008-3345
CNNVD:CNNVD-200807-437
EasyE-Cards是用PHP编写的发送电子贺卡的工具。
EasyE-Cards的staticpages/easyecards/index.php文件中没有正确地验证对ResultHtml、dir、SenderName、RecipientName、SenderMail和RecipientMail参数的输入便返回给了用户，远程攻击者可以通过跨站脚本攻击在用户浏览器会话中执行任意HTML和脚本代码；该文件中没有正确地验证对sid参数的输入便在SQL查询中使用，这允许攻击者执行SQL注入攻击。成功利用这个漏洞要求禁用了magic_quotes_gpc。
solution:Upgrade myiosoft easye-cards to a higher version than 3.5,3.10:a,and avoid the version 3.5,3.10:a