ثغرة Xss في كل نسخ الجيل 3.6 الترقيع في الداخل

[•||Bakenam||•]

اليوم التبليغ عن ثغرة جديدة في vBulletin 3.6.x

الثغرة سيئة لأنها تسرق الكوكيز ليس من المنتدى بل من لوحة التحكم وهذا يعني أنه إذا نجح المخترق في تطبيق الثغرة على منتداك فإنه سيتمكن من الحصول على الكوكيز الخاص بالـ cpsession وبالتالي لا يدخل إلى المنتدى باسمك وحسب بل يدخل إلى لوحة التحكم أيضاً

قمت بمراسلة الشركة ولكنهم تصرفوا بغباء لا أدري لماذا وطلبوا مني أن أروي لهم ماذا فعلت خطوة بخطوة مع أن الموضوع واضح ويحتاج إلى التجربة فقط.

على كل حال الحل هو كالتالي:

في الملف admincp/index.php

استبدل السطر التالي:

$vbulletin->input->clean_array_gpc('r', array('navprefs' => TYPE_STR));

بما يلي:

$vbulletin->input->clean_array_gpc('r', array('navprefs' => TYPE_NOHTML));



أيضاً ابحث عن:

$vbulletin->input->clean_array_gpc('r', array(
'prefs' => TYPE_STR,
'dowhat' => TYPE_STR,
'id' => TYPE_INT
));



واستبدله بـ:


$vbulletin->input->clean_array_gpc('r', array(
'prefs' => TYPE_NOHTML,
'dowhat' => TYPE_STR,
'id' => TYPE_INT
));




والآن أنت بأمان حتى صدور النسخة ا لجديدة

الموضوع الأصلي: ثغرة Xss في كل نسخ الجيل 3.6 الترقيع في الداخل || الكاتب: Bakenam || المصدر: منتديات بانى ستار

https://forum.b7st.com/

كلمات البحث

افلام,افلام عربى,افلام اجنبى,افلام هندى,افلام هندية,افلام كرتون,افلام عربية,افلام مصرية,افلام جديدة,اغاني,العاب,اغاني mp3,اغاني عربية,اغاني شعبيه,اغاني اجنبية,اغاني طرب,اغاني تامر حسني,عمرو دياب , فيديو,فيديو كليب,فيديو كليبات,فيديو رقص,فيديو بنات,مقاطع فيديو,مقاطع فيديو بنات,مقاطع مضحكة,مقاطع بلوتوث,مقاطع اغاني,تعليم لغات,قاموس,قانون,شعر,سلمى حايك,هيفاء وهبى,نانسى عجرم,نور,مهند