[ZendTo] Zendto is vulnerable for SQL-Injection

[patrick.gaikowski at kaufland.com]

Hi @ all,

i tried to audit zendto with parosproxy (www.parosproxy.org) and found out
that zendto is vulnerable for SQL-injection. The proxy manipulates the
claimid and claimpasscode and could blow up the database with dropoffs!






Mit freundlichen Grüßen / Best regards

Patrick Gaikowski
Tel:     +49 7132 94 3568
Fax:    +49 7132 94 73568
E-Mail: patrick.gaikowski at kaufland.com
KI 967800 IT International / Infrastruktur
Office:
Lindichstrasse 11
D-74189 Weinsberg


http://www.kaufland.de
Wir sind die Nr. 1:
Kaufland ist "Bester Lebensmittelmarkt 2011"!

Kaufland Informationssysteme GmbH & Co. KG
Postfach 12 53 - 74149 Neckarsulm
Kommanditgesellschaft
Sitz: Neckarsulm
Registergericht: Amtsgericht Stuttgart HRA 104163
-------------- next part --------------
An HTML attachment was scrubbed...
URL: http://mailman.ecs.soton.ac.uk/pipermail/zendto/attachments/20110517/db3c4ecc/attachment-0001.html 
-------------- next part --------------
A non-text attachment was scrubbed...
Name: 1D544909.gif
Type: image/gif
Size: 63093 bytes
Desc: not available
Url : http://mailman.ecs.soton.ac.uk/pipermail/zendto/attachments/20110517/db3c4ecc/attachment-0001.gif