Một lỗi nguy hiểm trong mã nguồn diễn đàn vBulletin 3.8.6 có thể được tin tặc khai thác chiếm dụng thông tin cơ sở dữ liệu mySQL dễ dàng.

Tin tặc chỉ cần chèn từ khóa “database” vào trong phần tìm kiếm của mục FAQ là kết quả sẽ hiển thị đầy đủ những thông tin cơ sở dữ liệu bao gồm tên, máy chủ, cổng kết nối, tên tài khoản và mật khẩu. Khi nắm được thông tin cơ sở dữ liệu, tin tặc có đầy đủ quyền hạn để điều khiển toàn bộ diễn đàn.

Hãng phát triển diễn đàn vBulletin đã xác nhận lỗi trên và phát hành nhanh bản vá tại http://www.vbulletin.com/forum/showthread.php?357818-Security-Patch-Release-3.8.6-PL1. Bản vá sẽ loại bỏ cụm từ “database_ingo”.

Mình đã test thử trên 1 số diễn đàn dùng mã nguồn VBB phiên bản này thì đúng là như vậy thật:

_________________________________________
Bài viết được đăng bởi: huynhmaianhkiet
Đăng trên: ANHKIET.BIZ
Ghi rõ nguồn ANHKIET.BIZ khi bạn phát hành lại thông tin.