Fork me on GitHub

Alerte sécurité : --MAJ-- Désactivez l'upload d'avatar

200508
Mars
  philou XOOPS 7026

Mis à jour le 09/03/05

Une Vulnérabilité a été rapportée dans le noyau de XOOPS qui autorise les membres à uploader des scripts malicieux sur le serveur web.

La vulnérabilité se trouve dans l'upload des avatars personnalisés et tant que nous n'avons pas vu toutes les conséquences et remèdes de cet exploit, nous demandons à TOUS les administrateurs de site XOOPS de DESACTIVER LES UPLOAD D'AVATARS PERSONNALISES dans Admin Systeme -> Preferences -> Paramètres utilisateurs -> "Autoriser l'upload d'avatars"

DE LA MEME MANIERE, n'autorisez pas l'upload d'image via le gestionnaire d'images. Dans Menu Administration -> Admin Systeme -> Images editer chaque categorie et ne pas autoriser les groupes utilisateurs non sûrs à uploader des images.

Nous vous tiendrons informé dès la publication du patch de sécurité empéchant cet exploit.

XOOPS Core Team

MISE A JOUR:
Un patch est disponible.
Si aucun problème spécifique n'est rencontré après des essais plus approfondis, il sera disponible demain.

En attendant, les personnes qui peuvent le tester et nous faire part de leur avis seront les bienvenues.
Pour l'installer, téléchargez les deux fichiers suivants dans le répertoire /class/ de votre XOOPS :
uploader.php
mimetypes.inc.php

Les mises à jour de Source Forge viewcvs sont faites régulièrement, mais vous pouvez avoir à attendre encore quelques minutes avant que le fichier devienne disponible. Alternativement, les personnes avec un acces CVS anonyme peuvent le récupérer directement dès à présent.

skalpa.>
(avec l'aide appréciable de php_pp :)

Note: 0.00 (0 votes) - Noter cet article -

Partager Twitter Partagez cette article sur GG+
Format imprimable Envoyer cet article à un ami
Les commentaires appartiennent à leurs auteurs. Nous ne sommes pas responsables de leur contenu.

Semi pro
Inscrit le: 09/06/2004
De: derrière mon ècran... si si j'vous jure... .. .
Contributions: 1788
kankrelune Posté le: 09/03/2005 00:09  Mis à jour: 09/03/2005 00:10
 Re: Alerte de sécurité : Désactivez l'upload d'...
Oui mais là je parle juste de vérification pour voir si ce n'est pas un script... si dimension inéxistantes ( = 0.00000... pas = 0.5 ou qlqc du genre) ce n'est pas une image... après il va de soit qu'il ne faut pas baser la vérification uniquement la dessus mais arrête moi si je dis une connerie un mime type c'est plus facile à falcifier que de simuler une image avec des dimensions... .. .

@ tchaOo°

Répons(s) Auteur Posté le
 Re: Alerte de sécurité : Désactivez l'upload d'... Anonyme 09/03/2005 07:39
Propulsé avec XOOPS | Graphisme adapté par Tatane, Grosdunord, Montuy337513

172 Personne(s) en ligne (1 Personne(s) connectée(s) sur Articles) | Utilisateur(s): 0 | Invité(s): 172 | Plus ...