خبر : تحديث أمني جديد vBulletin 3.8.4 PL1, 3.7.6 PL1+ [شرح] : ترقيع النسخة 3.8.4 PL1

قامت الشركة الأم بإصدار تحديث أمني للنسخة 3.8.4


Security patch: 3.8.4 PL1

وللنسخ الأقدم

vBulletin 3.8.4 PL1, 3.7.6 PL1, and 3.6.12 PL2 Released

الثغرة من نوع xss تسمح للمخترق بالحصول على معلومات دخول الأعضاء للموقع

للحصول على الترقيع من لوحة الترخيص في الشركة الأم أنقر على الرابط التالي


http://members.vbulletin.com/patches.php

لغير المرخصين اتبع الشرح
بسمه تعالى
حسب ما ذكرت شركة vbulletin أنه تم اكتشاف ثغرة xss جديدة
الثغرة موجودة في كل النسخ

الترقيع كالآتي:
في الملف class_dm.php الموجود في مجلد includes
ابحث عن:
كود PHP:
function verify_link(&$link)


استبدلها بـ:
كود PHP:
function verify_link(&$link, $strict = false)


أيضاً ابحث عن:
كود PHP:
else if (!preg_match('#^[a-z0-9]+://#si', $link))
{
// link doesn't match the http://-style format in the beginning -- possible attempted exploit
return false;
}


أضف أسفلها:
كود PHP:
else if ($strict && !preg_match('#^(http|https)://#si', $link))
{
// link that doesn't start with http:// or https:// should not be allowed in certain places (IE: profile homepage)
return false;
}


احفظ الملف

افتح الملف class_dm_user.php الموجود في ملف includes
ابحث عن:
كود PHP:
return (empty($homepage)) ? true : $this->verify_link($homepage);


استبدلها بـ:
كود PHP:
return (empty($homepage)) ? true : $this->verify_link($homepage, true);


احفظ الملف..
حتى تعرف أنك قمت بالترقيع قم بفتح الملف version_vbulletin.php الموجود أيضاً في includes
واستبدل جميع محتوياته بـ:
كود PHP:
<?php
define('FILE_VERSION_VBULLETIN', '3.8.4 Patch Level 1');
?>

مع تمنياتي لكم بقضاء أجمل الأوقات

الله يحفظكم