vBulletin管理员帐号注入漏洞

vBulletin管理员帐号注入漏洞

发布日期：2013-10-04
更新日期：2013-10-13

受影响系统：
VBulletin VBulletin 5.x
VBulletin VBulletin 4.x
描述：
--------------------------------------------------------------------------------
VBulletin是一个强大灵活并可完全根据自己的需要定制的论坛程序套件。

vBulletin 4.x.x及5.x.x允许攻击者利用vBulletin配置机制创建另一个管理员账户，即可具有vBulletin应用的完全控制权，然后控制其所支持的站点。要利用此漏洞，攻击者需要具有vBulletin upgrade.php准确的URL及用户ID。

<*来源：vBulletin
 
  链接：http://www.networkworld.com/news/2013/101013-hackers-exploit-vbulletin-vulnerability-to-274728.html?source=nww_rss&utm_source=twitterfeed&utm_medium=twitter
        http://blog.imperva.com/2013/10/threat-advisory-a-vbulletin-exploit-administrator-injection.html
*>

建议：
--------------------------------------------------------------------------------
厂商补丁：

VBulletin
---------
厂商目前尚未透露该漏洞的根本原因及影响，但是建议用户在vBulleting 4.x及5.x中分别删除/install和/core/install目录。对于无法删除这些目录的用户，建议阻止通过WAF或Web服务器访问配置访问或重定向到upgrade.php的请求。

http://www.vbulletin.com/