CVE:CVE-2008-0546
CNNVD:CNNVD-200802-013
CandyPress (CP) 4.1.1.26及其早期4.1.x versions版本的多个SQL注入漏洞会允许远程攻击者通过(a) ajax/ajax_optInventory.asp的(1) idProduct和 (2) options参数或者(b) ajax/ajax_getBrands.asp的 (2) recid 参数来执行任意SQL命令。
solution:Upgrade shoppingtree candypress_store to a higher version than 4.1,4.1.1.26,and avoid the version 4.1,4.1.1.26