CVE:CVE-2007-1909
CNNVD:CNNVD-200704-172
Battle.net clan管理系统使用MySQL后端，允许用户方便的升级和维护web站点。
Battle.net clan系统实现上存在输入验证漏洞，远程攻击者可能利用此漏洞执行SQL注入攻击，非授权获取系统的管理权限。
Battle.net clan的login.php脚本没有正确地验证通过index.php对user参数的输入：
line 9 --> $user = $_POST["user"];
line 10--> $pass = $_POST["pass"];
.....
.....
.....
line 21--> mysql_query("SELECT * FROM bcs_members WHERE name='$user' AND password='$pass'", $link);
允许攻击者以管理员权限登录。但成功攻击要求禁用了magic_quotes_gpc。
solution:Upgrade ryan_haudenschilt battle.net_clan_script to a higher version than *