WARNUNG! SQL-INJECTION-BUG

[lemming]

Der Bug:
Benutzername & Passwort beim AdminLogin werden nur unzureichend überprüft.
Somit ist es möglich z.b. Anhand des Benutzernamens eine SQL-Injection durchzuführen und eigene Befehle auf dem MySql Server auszuführen.
Durch die Eingabe von

\' OR 1=1 LIMIT 1 #

  wird man z.B. auf einigen Servern als Admin eingeloggt.
Der Bugfix:
in login.inc.php:
NACH

$username =$_POST[\'username\'];
$pwd      =$_POST[\'pwd\']

 
DAS HIER EINFÜGEN:
 

$username= str_replace(\"\'\", \"\", $username);
$username= str_replace(\"\\\"\", \"\", $username);
$pwd = str_replace(\"\'\", \"\", $pwd);
$pwd = str_replace(\"\\\"\", \"\", $pwd);

[Powie]

die passiert bei allen alten Versionen , sobald magic_quotes  off ist.
fixed.....