vulnerabilitas critica fixa in machina ad forums interretialem conficiendam vBulletin (additur)

Revelata information about an incorrected (0-day) critica vulnerability (CVE-2019-16759) in engine proprietatis causa creando fora interretialia Jelsoft, quae te permittit ut codicem exsequias in calculonis mittens mittens per petitionem specialem designatam POST. Operatio facinus praesto est ad quaestionem. vBulletin multis inceptis apertis, inter forums innixum machinamento utitur. Ubuntu, openSUSE, BSD systemata и Slackware.

In vulnerabilitas in "ajax/render/widget_php" tracto adest, qui sinit arbitrariam codicem per "widgetConfig[code]" transeundum esse (codex launchendi simpliciter transigitur, ne quid fugiendum quidem est) . Impetus forum authenticas non requirit. Problema confirmatum est in omnibus emissiones currentis vBulletin 5.x rami (ab anno 2012 progresso), inter recentissimas emissiones 5.5.4. Renovatio cum fix nondum parata est.

Additio 1: Pro versionibus 5.5.2, 5.5.3 et 5.5.4 dimisit inaequaliter. Dominis seniorum 5.x emissiones monuerunt ut systemata sua primum renovarent ad versiones novissimas confirmatas ad vulnerabilitatem tollendam, sed ut habemus. potes commento vocatum "aeval($code)" in codice functionis evalCode e tabella includit/vb5/frontend/controller/bbcode.php.

Addendum II: Passibilitatem iam activae applicatas for impetus; spam mailings и relinquens backdoors. Impetus vestigia observari possunt in lignis servulis per praesentiam petitionum ad lineam "ajax/render/widget_php".

Additamentum 3: exsurrexerunt vestigia usui quaestionis de quibus in antiquis impugnationibus tractatur, ut videtur, vulnerabilitas iam per tres fere annos abutitur. Praeterea, published scriptum quod impetus ad molem automated exsequi potest quaerendo systemata vulnerabilia per ministerium Shodan.

Source: opennet.ru