受影响系统：

osCommerce osCommerce 2.2 ms2
osCommerce osCommerce 2.2 ms1

周详描述：

osCommerce是一款在线购物电子商务解决方案。osCommerce不正确过滤用户提交的URI参数，远程攻击者能够利用这个漏洞进行SQL注入攻击，可获得敏感信息或更改数据库信息。

问题存在于default.php脚本中，由于对用户提交给products_id的参数缺少充分过滤，可提交包含恶意SQL命令的数据作为此参数，可导致修改原由的数据库逻辑，获得敏感信息，或提交%22 %5C %27或%00可导致拒绝服务，使一般用户不能正常使用服务。

另外由于对manufacturers_id参数缺少过滤，可进行跨站脚本执行攻击。

现在厂商还没有提供补丁或升级程式。