Le module PostSchedule(calendrier) est vulnérable à une attaque de type SQL injection. Certains sites ont déjà été hacké depuis l'annonce public de cette faille sur le site milw0rm.com la semaine passée.



Pour corriger rapidement ce problème nous recommandons de remplacer le fichier pnuserapi.php par le contenu de PostSchedule-Quickfix.zip qui peut être téléchargé ici. Comme solution à plus long terme, nous recommandons de remplacer ce module pour lequel le développement a été stoppé il y a un moment. Pour la version .764 PGCalender ou PostCalendar pourraient être une alternative tandis que pour la version .8 il existe crpcalendar, Eventliner ou TimeIt.

L'équipe de développement n'assure aucun support pour cette correction de PostSchedule, vous pouvez l'utiliser mais c'est à votre propre risque. Cela peut (ou peut-être pas) corriger la faille et il est possible qu'il en existe d'autres dans ce module. Si quelqu'un a envie de s'occuper plus attentivement de ce problème, libre à lui de le faire.



Lien vers l'Article



-------------------------------------------
...n'oubliez pas que l'outil Recherche est votre ami !
...bien souvent il répond à nos questions avant même que l'on ne se les pose ! ^^

Pour votre information : différents sites ont déjà été touchés dont certains maintenus par des membres de la communauté francophone. Il est impératif de faire rapidement cette mise à jour, et de manière générale d'avoir des backups des fichiers ET de la base de donnée de votre site internet, de tester la remise en route de votre site avant qu'il ne plante

A vos claviers !

---

Gilles  ><>°

Pour ma part je rajouterais que bien que le patch proposé corrige la faille il est grandement préférable de changer de module de calendrier!

-------------------------------------------
...n'oubliez pas que l'outil Recherche est votre ami !
...bien souvent il répond à nos questions avant même que l'on ne se les pose ! ^^

est ce que vous pensez que cette recrudescence de faille est du au faites que certains hackers vident leur tiroirs avant la sortie de la pn0.8 ?

Non, je ne pense pas. Il se trouve que la faille aie été exploitée car elle a été découverte récemment. Je ne vois pas l'intérêt, d'autant qu'il est très difficile de savoir quand sortira Pn 0.8 !

++

---

Gilles  ><>°