ترقيع pl1 للنسخة 3.7.4

[فارس الحسناء]

بسم الله الرحمن الرحيم


السلام عليكم ورحمة الله وبركاته

هذا الترقيع يخص النسخة 3.7.4 وقد أعلنت الشركة اليوم صباحاً 21/11/2008 عن وجود ثغرة XSS
في لوحة تحكم العضو تخول الهاكر بالدخول لحسابات الأعضاء أو التعديل في بياناتهم..

المصدر:
[فقط الأعضاء المسجلين والمفعلين يمكنهم رؤية الروابط] ([فقط الأعضاء المسجلين والمفعلين يمكنهم رؤية الروابط])



الترقيع :
1- للأعضاء المرخصين توجه إلى الرابط التالي وقم بتحميل الباتش:
[فقط الأعضاء المسجلين والمفعلين يمكنهم رؤية الروابط] ([فقط الأعضاء المسجلين والمفعلين يمكنهم رؤية الروابط])

2- للأعضاء الغير مرخصين بإمكانك التعديل على الملفات المصابة:
ملف واحد فقط وهو usercp.php افتح الملف بأي برنامج تحرير وابحث عن:

رمز PHP:
$visitormessage['summary'] = fetch_word_wrapped_string(fetch_censored_text(fetc h_trimmed_title(strip_bbcode($visitormessage['pagetext'], true, true), 50)));


استبدلها بـ:

رمز PHP:
$visitormessage['summary'] = htmlspecialchars_uni(fetch_word_wrapped_string(fet ch_censored_text(fetch_trimmed_title(strip_bbcode( $visitormessage['pagetext'], true, true), 50))));



للإفادة فقط التغيير الذي تم أنه أضيف htmlspecialchars_uni طبعاً هذه الـfunction تقوم بمنع المستخدم من استخدام الحروف الخاصة المتفق عليها دولياً مثل علامات التنصيص والأحرف مثل & والمسافة وما شابه .. وتقوم بتحويلها إلى & | " | ' ... إلخ أما uni فهو نوع جديد أكثر أمان تم إضافته للــfunction ..


لتغيير رقم النسخ استبدل كامل محتويات الملف includes/version_vbulletin.php بـ:

رمز PHP:


<?php

define('FILE_VERSION_VBULLETIN', '3.7.4 Patch Level 1');

?>





مع تمنياتي لكم بالتوفيق



منقولَ من القرشّ الاسوَد