Kolejny 0-day exploit na MyBB

24 kwietnia 2007, by: kozik

To kolejny w przyciągu ostatniego miesiąca exploit na lukę 0-day (bez łaty od producenta) w MyBB. Tym razem – SQL Injection… Linka do exploita nie podam, ale za to:

W pliku calendar.php ZNAJDŹ:
$eid = intval($mybb->input['eid']);

PONIŻEJ DODAJ:
if (isset($mybb->input['day']))
$mybb->input['day'] = intval($mybb->input['day']) ;

Update (25 kwietnia):
MyBB wypuściło uaktualnienie (do wersji 1.2.6).

Wysłano w Blog - Web | Tagi: , , | 2 komentarzy »

Adres dla trackback. RSS dla komentarzy w tym wpisie.

2 komentarzy

  1. pawhox Says:
    Kwiecień 25th, 2007 at 15:11

    Ufff… Dużo jeszcze tych błędów może tam być? :/

  2. kozik Says:
    Kwiecień 26th, 2007 at 10:12

    Błędów to zapewne jest jeszcze sporo – to naturalne. Niestety część może wynikać ze złego projektu – dopiero w wersji 1.2 zaczęli wprowadzać coś w stylu obiektów biznesowych (post, pm, user, event); w całej aplikacji pałętają się zapytania SQL; brak wyraźnego modelu MVC (lub jakiegokolwiek innego)… błędy będą. Liczy się tylko i wyłącznie jak poważne i jak szybko łatane. Póki co do czasu reakcji producenta nie można mieć jakoś większych zastrzeżeń.

    Publikowanie exploitów na niezałatane luki jest niestety tutaj działaniem na szkodę użytkowników tego mechanizmu.

Dodaj komentarz




Uwaga: Włączona jest moderacja komentarzy, więc nowy komentarz nie ukaże się bezpośrednio po jego wysłaniu.

Uwaga: Działa filtr antyspamowy. Jeśli umieścisz w komentarzu odnośniki, to może on zostać błędnie zakwalifikowany jako spam.