VBulletin是一个强大灵活并可完全根据自己的需要定制的论坛程序套件。
vBulletin 4.x.x及5.x.x允许攻击者利用vBulletin配置机制创建另一个管理员账户,即可具有vBulletin应用的完全控制权,然后控制其所支持的站点。要利用此漏洞,攻击者需要具有vBulletin upgrade.php准确的URL及用户ID
0
VBulletin 5.x
VBulletin 4.x
厂商补丁:
VBulletin
---------
厂商目前尚未透露该漏洞的根本原因及影响,但是建议用户在vBulleting 4.x及5.x中分别删除/install和/core/install目录。对于无法删除这些目录的用户,建议阻止通过WAF或Web服务器访问配置访问或重定向到upgrade.php的请求。
http://www.vbulletin.com/
暂无评论