vBulletin 0day缝隙安全公告

颁布功夫 2019-09-25

缝隙编号和级别


CVE编号：暂无 ，危险级别：高危 ，CVSS分值：官方未评定


影响版本


vBulletin版本5.0.0到最新的5.5.4


缝隙概述


vBulletin是美国Internet Brands和vBulletin Solutions公司共同开发的一款开源的贸易Web论坛法式。


一位匿名安全钻研人员在受迎接的论坛软件vBulletin中发现未建补的0day并披露了有关PoC。凭据对已颁布代码的分析 ，该0day允许攻击者在运行vBulletin事俘的服务器上执行Shell号令而无需拥有指标论坛的账户。也就是说这是一个“预身份验证的远程代码执杏妆缝隙 ，是可能对 web 平台造成最严沉影响的安全缺点类型之一。


只管vBulletin 是一款商用产品 ，但它依然是最热点的 web 论坛软件包 ，其市场份额要大于多种开源的解决规划如 phpBB、XenForo、Simple Machines Forum、MyBB等。由于vBulletin被超过10万个在线网站所使用 ，因而该缝隙的潜在影响领域极大。


缝隙验证


POC：https://seclists.org/fulldisclosure/2019/Sep/31。


建复建议


vBulletin开发团队尚未对此事务进行回应。


参考链接


https://securityaffairs.co/wordpress/91689/hacking/unpatched-critical-0-day-vbulletin.html