CVE:CVE-2006-4586
CNNVD:CNNVD-200609-053
Tr Forum是一款法语的论坛程序。
Tr Forum中的多个漏洞允许恶意用户执行SQL注入攻击和绕过某些安全限制。
1) admin/insert_admin.php文件中缺少认证，允许创建拥有有限权限的管理员帐号。
2) 没有正确过滤对admin/editer.php文件中id2参数的输入，允许攻击者通过注入任意SQL代码操控SQL查询。成功攻击要求某些管理权限。
3) 在更新配置文件时缺少访问验证，允许通过更改id参数修改其他用户的设置。
组合使用#1和#2所述漏洞允许以完全权限访问管理部分。
solution:Upgrade tr_forum tr_forum to a higher version than 2.0,and avoid the version 2.0