Новости: SQL-инъекция в PHP-Fusion

SQL-инъекция в PHP-Fusion

23.02.2013 11:31
jikaka
Безопасность

На днях была выявлена уязвимость в PHP-Fusion, которая позволяет удаленному пользователю выполнить произвольные SQL команды в базе данных приложения.

Уязвимость существует из-за недостаточной обработки входных данных в куки файлах "user" и "admin" в сценарии, к примеру, news.php в includes/classes/Authenticate.class.php. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения.

Версии подверженные уязвимости: v7.02.01 - v7.02.05

Настоятельно рекомендуется обновиться до последней версии 7.02.06!

PS Уязвимости предположительно не подвержены версии с magic_quotes ON (не проверено на опыте - кто проверит?) , но это не значит что можно ничего не делать - PolarFox.

Печать
39 Комментариев
3697 Прочтений

Поделиться этой новостью
Социальные закладки:
URL:
BBcode:
HTML:

#1 | KaneKRY 23.02.2013 11:41

Отсутствует
Пользователь
Активный
С 05.02.2013 10:40

Ура у меня 7.02.06 - оба сайта лежат!!!

#2 | Zaxap 23.02.2013 11:46

Отсутствует
Пользователь
Активный
С 05.09.2012 10:32

Угу)

Зло не дремлет, а я добрый...

#3 | Polarfox 23.02.2013 11:52

Отсутствует
Администратор
Активный
С 20.08.2010 14:03

Добавил еще немного инфы.
Я уже говорил, но скажу еще и тут - эксплойт попал в паблик неделю-две назад, так что школьники уже ололокают и боты готовы автоботить.

Всегда делайте backup перед изменениями | Указывайте свою версию в подписи/профиле. | Вся бесплатная тех. поддержка только на форуме

#4 | KaneKRY 23.02.2013 12:41

Отсутствует
Пользователь
Активный
С 05.02.2013 10:40

У меня у одного проблемы?

#5 | jikaka 23.02.2013 12:53

Отсутствует
Супер Администратор
Активный
С 26.07.2010 12:10

KaneKRY, ты у хостера спрашивай, почему у тебя сайты лежат

мысли | фото

#6 | BolkS 23.02.2013 12:53

Отсутствует
Пользователь
Активный
С 24.02.2011 17:23

Какой файл нужно поправить, чтобы устранить уязвимость?
Интересуют все варианты: удалить сайт с хостинга, запретить регистрацию новым пользователям или пользователям с латинскими никами, удалить всех недоверенных пользователей и т.д. ?

v7.02.06

#7 | jikaka 23.02.2013 12:55

Отсутствует
Супер Администратор
Активный
С 26.07.2010 12:10

вроде в новости указан, не читал что ли?

мысли | фото

#8 | BolkS 23.02.2013 12:57

Отсутствует
Пользователь
Активный
С 24.02.2011 17:23

Читал, но интересует конкретная строчка, заплатка...

v7.02.06

#9 | KaneKRY 23.02.2013 13:03

Отсутствует
Пользователь
Активный
С 05.02.2013 10:40

jikaka пишет:
KaneKRY, ты у хостера спрашивай, почему у тебя сайты лежат

Спросил конечно.

Но! Сайт выдаёт ошибку "Unable to select MySQL database"
Причём упали сайты только на php-fusion Так что, это вряд ли совпадение...

Повторю: версия движка самая последняя.

#10 | Pisatel 23.02.2013 13:43

Отсутствует
Пользователь
Активный
С 08.02.2013 05:51

Пока все работает... Благодарю за инфу. 7.02.06, ставил с нуля. А вообще- жуть. По репе двига может нормально ударить.

Переполз на WP, но PF - это как первая любовь, которая не забывается...

Страница 1 из 4: 12 3 4

Добавить комментарий

Пожалуйста, залогиньтесь для добавления комментария.

Рейтинги

5 (Отлично!) - 2 Голоса Рейтинг доступен только для пользователей. Пожалуйста, авторизуйтесьили зарегистрируйтесь для голосования.

Гости:
[Ваш IP]	08:33:07
/Новости
47.128.55.140	08:32:59
/Поиск
3.143.9.115	08:32:45
/Профиль
47.128.118.21	08:32:32
/Поиск
18.189.180.244	08:32:20
/Поиск
103.78.9.42	08:32:04

3.21.248.47	08:31:55
/Архив миничата
47.128.118.181	08:31:45
/Поиск
3.15.229.113	08:31:43
/Поиск
69.162.124.230	08:31:42

3 - не показано