ترقيع ثغرة Xss في كل نسخ الجيل 3.6

[tamer.jo]

تم التبليغ عن ثغرة جديدة في vBulletin 3.6.x
الثغرة سيئة لأنها تسرق الكـوكيز ليس من المنتدى بل من لوحة التحكم وهذا يعني أنه إذا نجح المخترق في تطبيق الثغرة على منتداك فإنه سيتمكن من الحصول على الكـوكيز الخاص بالـ cpsession وبالتالي لا يدخل إلى المنتدى باسمك وحسب بل يدخل إلى لوحة التحكم أيضاً
على كل حال الحل هو كالتالي:
في الملف admincp/index.php
استبدل السطر التالي:
$vbulletin->input->clean_array_gpc('r', array('navprefs' => TYPE_STR));
بما يلي:
$vbulletin->input->clean_array_gpc('r', array('navprefs' => TYPE_NOHTML));
أيضاً ابحث عن:
$vbulletin->input->clean_array_gpc('r', array(
'prefs' => TYPE_STR,
'dowhat' => TYPE_STR,
'id' => TYPE_INT
));
واستبدله بـ:
$vbulletin->input->clean_array_gpc('r', array(
'prefs' => TYPE_NOHTML,
'dowhat' => TYPE_STR,
'id' => TYPE_INT
));
والآن أنت بأمان حتى صدور النسخة ا لجديدة
مكتشف الثغرة هو
Author: insanity
E-mail: insanity[at]darkers.com.br
http://www.securityfocus.com/bid/21157

[كافي عذاب]

تسلم بس ما ودك ترفعها بتيكست افضل : تصير لخبطه بالمنتدى بعدين واولا واخيرا الرفع مفيد من وجود الخطئ بانتظارك

[SnIpEr_SyRiA]

مشكور اخوي على الموضوع وعلى ترقيع
جاري عمل عليها

[DanGer Boy]

يعطيك العافيه

[Master]

ارجو التكرم

هل الثغره فعاله على نسخ 3.6

ام لا