vBulletin 0day缝隙安全公告

颁布功夫 2019-09-25

缝隙编号和级别


CVE编号：暂无， ，， ，，危险级别：高危， ，， ，，CVSS分值：官方未评定


影响版本


vBulletin版本5.0.0到最新的5.5.4


缝隙概述


vBulletin是美国Internet Brands和vBulletin Solutions公司共同开发的一款开源的贸易Web论坛法式。。。。。。。。


一位匿名安全钻研人员在受欢迎的论坛软件vBulletin中发现未建补的0day并披露了有关PoC。。。。。。。。凭据对已颁布代码的分析， ，， ，，该0day允许攻击者在运行vBulletin事俘的服务器上执行Shell号令而无需拥有指标论坛的账户。。。。。。。。也就是说这是一个“预身份验证的远程代码执杏妆缝隙， ，， ，，是可能对 web 平台造成最严沉影响的安全缺点类型之一。。。。。。。。


只管vBulletin 是一款商用产品， ，， ，，但它依然是最热点的 web 论坛软件包， ，， ，，其市场份额要大于多种开源的解决规划如 phpBB、XenForo、Simple Machines Forum、MyBB等。。。。。。。。由于vBulletin被超过10万个在线网站所使用， ，， ，，因而该缝隙的潜在影响领域极大。。。。。。。。


缝隙验证


POC：https://seclists.org/fulldisclosure/2019/Sep/31。。。。。。。。


建复建议


vBulletin开发团队尚未对此事务进行回应。。。。。。。。


参考链接


https://securityaffairs.co/wordpress/91689/hacking/unpatched-critical-0-day-vbulletin.html