CVE:CVE-2014-5387
CNNVD:CNNVD-201411-034
EllisLab ExpressionEngine是美国EllisLab公司的一套内容管理系统（CMS），它提供Web发布、模板引擎和附件组件等模块。
EllisLab ExpressionEngine 2.9.1之前版本中存在SQL注入漏洞，该漏洞源于system/index.php脚本没有充分过滤‘column_filter’或‘category[]’参数；system/index.php脚本没有充分过滤comment组件中的‘tbl_sort[0][]’参数。远程攻击者可利用该漏洞执行任意SQL命令。
solution:Upgrade ellislab expressionengine to a higher version than 2..5.4,2.0.0:public_beta,2.0.1:public_beta,2.0.2:public_beta,2.3.1,2.5.5,2.6.1,2.7.1,2.7.2,2.8.1,and avoid the version 2..5.4,2.0.0:public_beta,2.0.1:public_beta,2.0.2:public_beta,2.3.1,2.5.5,2.6.1,2.7.1,2.7.2,2.8.1; Upgrade expressionengine expressionengine to a higher version than 2.9.0,2.1.0,2.1.1,2.1.2,2.1.3,2.1.4,2.1.5,2.2.0,2.2.1,2.2.2,2.3.0,2.4.0,2.5.0,2.5.1,2.5.2,2.5.3,2.6.0,2.7.0,2.7.3,2.8.0,and avoid the version (,2.9.0],2.1.0,2.1.1,2.1.2,2.1.3,2.1.4,2.1.5,2.2.0,2.2.1,2.2.2,2.3.0,2.4.0,2.5.0,2.5.1,2.5.2,2.5.3,2.6.0,2.7.0,2.7.3,2.8.0