Pasirinktų failų peržiūra ir trynimas phpBB forume
Programa: phpBB 2.0.11
Pavojaus lygis: Vidutinis
Eksploitas: Nėra
Aprašymas: Klaida phpBB forume atakuotojui per nuotolį leidžia peržiūrėti norimų failų turinį ir ištrinti (unlink) sistemos failus, naudojantis Web serverio privilegijomis.
Klaida, rasta keliuose phpBB scenarijuose, atsakančiuose už avatarų apdorojimą (usercp_avatar.php, usercp_viewprofile.php ir usercp_register.php) atakuotojui per nuotolį leidžia kontroliuoti unlink() funkcijos perduodamus parametrus.
Technines smulkmenas rasite kūrėjo svetainėje: http://www.phpbb.com
Sprendimas: Įdiekite atnaujintą forumo versiją (2.0.12):
http://www.phpbb.com/downloads.php
* iDEFENSE Security Advisory 02.22.05: phpBB GroupphpBB Arbitrary File Disclosure Vulnerability
* iDEFENSE Security Advisory 02.22.05: phpBB GroupphpBB2 Arbitrary File Unlink Vulnerability
