سلسلة تحذيرات من ثغرات المنتديات

[ريمه الخاني]

تحذير مهم بخصوص ثغره في النسخه 3.5.4



الترقيع

ترقيع تصديق البريد الإلكتروني (/forum/profile.php?do=editpassword )

قم بفتح تمبلت SHOWTHREAD

وابحث عن



وقم بحذف الكود من القالب تماماً وطبعا يتم التنفيذ على جميع الاستايلات المتوفره عندك في المنتدى

ثم نذهب إلى خيارات المنتدى ثم ( خيارات البريد )

ونقوم بتطبيق الاعدادات التالية :-

تمكين خيارات البريد أجعلها ( نعم )

السماح للمستخدمين بالمراسلة البريدية للأعضاء الآخرين ( لا )

استخدام إرسال البريد الأمن (لا)

ثم نقوم باغلاق الارشيف تماماً من لوحه التحكم الخاصه بالمنتدى

من لوحة التحكم

خيارت المنتدي

محرك بحث الأرشيف
Forum Archive Enabled---------> NO (لا)


ثم تقوم بعمل جدار حمايه httacss لمجلد archive من لوحه ال cpanel

اتمنى من الجميع الحذر

[ريمه الخاني]

ثغرة التقويم خطيره جدا



السلام عليكم ورحمة الله وبركاته


الثغرة تعمل على الاصدار 3.5.1 وعلى قليل من اصدارات 3.5.2

يعني نسبة توفرها في 3.5.1 اكثر من 3.5.2

وهذا كود الاستغلال


رمز:
calendar.php?do=addreminder&e=[eventid]
طبعاً الكود تضعه بعد رابط المنتدى مباشرة

يعني يصير كذا

www.XxXxX.com/vb/calendar.php?do=addreminder&e=[eventid]

بعد ماتدخل فيه منتديات راح تطلب منك التسجيل سجل بكل بساطة

بعد التسجيل اعتقد مايبيلها شرح الثغرة وضحت امامكم ومبروك الاختراق

ثالثاً / ترقيع الثغرة:-

افضل حل لهذه الثغرة هي ايقاف التقويم نهائياً