Новости: SQL-инъекция в PHP-Fusion

SQL-инъекция в PHP-Fusion

23.02.2013 11:31
jikaka
Безопасность

На днях была выявлена уязвимость в PHP-Fusion, которая позволяет удаленному пользователю выполнить произвольные SQL команды в базе данных приложения.

Уязвимость существует из-за недостаточной обработки входных данных в куки файлах "user" и "admin" в сценарии, к примеру, news.php в includes/classes/Authenticate.class.php. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения.

Версии подверженные уязвимости: v7.02.01 - v7.02.05

Настоятельно рекомендуется обновиться до последней версии 7.02.06!

PS Уязвимости предположительно не подвержены версии с magic_quotes ON (не проверено на опыте - кто проверит?) , но это не значит что можно ничего не делать - PolarFox.

Печать
39 Комментариев
3691 Прочтений

Поделиться этой новостью
Социальные закладки:
URL:
BBcode:
HTML:

#31 | styxjoe 27.02.2013 07:34

Отсутствует
Пользователь
Активный
С 27.02.2013 07:30

Я на всякий случай сделал .htaccess файл с кодом:
<Files custom_pages.php>
order allow,deny
deny from all
</Files>
и положил его в папку administration/ И естественно обновился до 7,02,06

#32 | jikaka 27.02.2013 07:43

Отсутствует
Супер Администратор
Активный
С 26.07.2010 12:10

Обратите внимание, что вероятно вредоносные скрипты на Вашем аккаунте были размещены при помощи уязвимости в скрипте administration/custom_pages.php

изначально нужен доступ к админке, дело не в этом файле, через создание страницы был нанесен вред, поэтому они так и считают

мысли | фото

#33 | Vova 27.02.2013 20:55

Отсутствует
Пользователь
Активный
С 05.08.2011 11:53

jikaka пишет:
но как партизан молчал

я думал что все знали.

Мои сайты: ABCVG.com / Допомога учням / ГДЗ / 8Gamers - Игровой портал / Мониторинг CS / Мониторинг игровых серверов / Хостинг от ABCVG.net

#34 | util 28.02.2013 15:46

Отсутствует
Пользователь
Активный
С 13.09.2010 13:10

"Шестерка" тоже подвержена..
22-го заразили, сегодня сработало.
С IP 31.184.244.18

Счастлив не тот, кто получает подарок, а тот, кто подарок делает.

#35 | styxjoe 01.03.2013 07:58

Отсутствует
Пользователь
Активный
С 27.02.2013 07:30

Это очень печально. Мне хостинг в самом начале атаки один сайт отдал, а второй так и не отдаёт по причине наличия такой опасной уязвимости. Есть надежда что эту дыру закроют?

#36 | jikaka 01.03.2013 12:18

Отсутствует
Супер Администратор
Активный
С 26.07.2010 12:10

6-я версия не поддерживается официально
в 7-й дырка закрыта в v7.02.06

мысли | фото

#37 | util 02.03.2013 11:30

Отсутствует
Пользователь
Активный
С 13.09.2010 13:10

Почистил и кое-что изменил-добавил. Ребята с хостинга
тоже подмогли. Гады залезли через FTP.

Счастлив не тот, кто получает подарок, а тот, кто подарок делает.

#38 | Serge Renard 02.03.2013 12:34

Отсутствует
Пользователь
Активный
С 18.02.2013 18:46

Вот всегда считал, что хранение паролей где-либо, кроме как в голове - есть зло.

В Интернете кто-то неправ!

#39 | jikaka 02.03.2013 14:54

Отсутствует
Супер Администратор
Активный
С 26.07.2010 12:10

в голове тоже не все упомнишь, особенно после возвращения с отпуска, фиг что вспомнишь

мысли | фото

Страница 4 из 4: 1 2 34

Добавить комментарий

Пожалуйста, залогиньтесь для добавления комментария.

Рейтинги

5 (Отлично!) - 2 Голоса Рейтинг доступен только для пользователей. Пожалуйста, авторизуйтесьили зарегистрируйтесь для голосования.

Гости:
[Ваш IP]	08:42:27
/Новости
3.14.132.214	08:42:20
/Новости
3.142.173.227	08:42:16
/Поиск
18.116.62.45	08:41:37
/Архив миничата
18.118.32.213	08:41:24
/Архив миничата
2.98.222.199	08:41:21

47.128.35.212	08:41:09
/Поиск
3.135.195.249	08:41:06
/moddb/error.php
3.19.56.45	08:40:54
/Поиск
18.216.239.46	08:40:51
/Профиль