vBulletin管理员帐号注入漏洞

发布日期：2013-10-04
更新日期：2013-10-13受影响系统：
VBulletin VBulletin 5.x
VBulletin VBulletin 4.x
描述：
--------------------------------------------------------------------------------
VBulletin是一个强大灵活并可完全根据自己的需要定制的论坛程序套件。vBulletin 4.x.x及5.x.x允许攻击者利用vBulletin配置机制创建另一个管理员账户，即可具有vBulletin应用的完全控制权，然后控制其所支持的站点。要利用此漏洞，攻击者需要具有vBulletin upgrade.php准确的URL及用户ID。
<*来源：vBulletin

链接：http://www.networkworld.com/news/2013/101013-hackers-exploit-vbulletin-vulnerability-to-274728.html？source=nww_rss&utm_source=twitterfeed&utm_medium=twitter
http://blog.imperva.com/2013/10/threat-advisory-a-vbulletin-exploit-administrator-injection.html
*>建议：
--------------------------------------------------------------------------------
厂商补丁：VBulletin
---------
厂商目前尚未透露该漏洞的根本原因及影响，但是建议用户在vBulleting 4.x及5.x中分别删除/install和/core/install目录。对于无法删除这些目录的用户，建议阻止通过WAF或Web服务器访问配置访问或重定向到upgrade.php的请求。http://www.vbulletin.com/Cisco Unified Communications Manager目录遍历漏洞（CVE-2013-5528）GestioIP远程命令执行漏洞相关资讯 VBulletin漏洞

vBulletin SQL注入漏洞（07/18/2014 15:44:44）

vBulletin index.php/ajax/api/ （12/14/2013 08:37:16）

本文评论查看全部评论（0）

评论声明

尊重网上道德，遵守中华人民共和国的各项有关法律法规
承担一切因您的行为而直接或间接导致的民事或刑事法律责任
本站管理人员有权保留或删除其管辖留言中的任意内容
本站有权在网站内转载或引用您的评论
参与本评论即表明您已经阅读并接受上述条款