nicht angemeldet
Hi,
$sql = "select URL from DataNeu where Kunde = '".$_GET["id"]."'"
Aua.
Wenn ich jetzt die Seite mit
id=';drop table DataNeu;
oder ähnlichem aufrufe?
Du kannst doch nicht einfach Daten, die vom (potentiell bösen) User kommen, unbehandelt als Code übernehmen.
Wenigstens mysql_escape_string darauf anwenden!
cu,
Andreas
--
MudGuard? Siehe http://www.Mud-Guard.de/
Fachfragen per E-Mail halte ich für unverschämt und werde entsprechende E-Mails nicht beantworten. Für Fachfragen ist das Forum da.
MudGuard? Siehe http://www.Mud-Guard.de/
Fachfragen per E-Mail halte ich für unverschämt und werde entsprechende E-Mails nicht beantworten. Für Fachfragen ist das Forum da.