CMS / DATA PUBLICZNEGO OGŁOSZENIA
Joomla: wykonanie kodu przez obsługę sesji
Informacje przesyłane przez przeglądarkę trafiały do mechanizmu sesji bez wystarczającej kontroli.
Co się wydarzyło?
14 grudnia 2015 roku Joomla opublikowała poprawkę poważnej podatności w obsłudze sesji. Komunikat wskazywał niewłaściwe filtrowanie informacji o przeglądarce zapisywanych do bazy danych. Problem obejmował wiele kolejnych wydań CMS.
Wydanie 3.4.6 zawierało ówczesną poprawkę. Rozpiętość podatnych wersji pokazała, jak długo błąd może pozostawać w popularnym oprogramowaniu. Obecnie należy wybierać wspieraną gałąź, a nie zatrzymywać aktualizacje na historycznej wersji naprawczej.
Co to oznacza dla administratora?
Danych przesyłanych przez przeglądarkę, w tym nagłówków, nie można uznawać za zaufane. W utrzymaniu CMS liczą się aktualizacje całego rdzenia, zgodność środowiska oraz kontrola śladów ewentualnego włamania.