MyBB SQL Injection ve CSRF açıkları

tarafından **[[ HAN ]]** Salı Ocak 22, 2008 5:00 am

MyBB'de tespit edilen açıklar saldırganların SQL enjeksiyoni ve cross-site request forgery saldırıları yapabilmelerine izin veriyor.
1) inc/datahandlers/pm.phpi dosyasına gönderilen girişler SQL sorgularında kullanılmadan önce doğru olarak filtrelenmiyor.
2) uygulama herhangi bir onaylama kontrolü olmadan kullanıcıların HTTP
istekleri ile bazı işlemler yapmalarına izin verebiliyor. Bu açık ile
moderatörlerin kötü amaçlı bir siteyi ziyaret etmesini sağlayarak
içerik silme gibi işlemler yapılabiliyor.
Açıkların 1.2.11 ve öncesinde olduğu bildirildi.
Çözüm:
1.2.12 sürümüne güncelleyin.
Kaynak: http://secunia.com/advisories/28572/
Ref: http://community.mybboard.net/showthread.php?tid=27675