Всем привет!

В движке XT-Commerce есть уязвимость - SQL-injection:

Но, т.к. генерируемые самим движком ссылки имеют примерно такой вид:

т.е. содержат символы с и _, то скрипт их вырезает. Поэтому нельзя, например сделать выборку из таблицы, в имени которой есть буква с или _.

Пробовал обойти это, заюзав переменные, вроде:

0x637573746F6D657273=(customers)

Но этот номер не прокатывает.

Кто-нибудь знает, как можно обойти?