vBulletin 0day缝隙安全公告

颁布功夫 2019-09-25

缝隙编号和级别


CVE编号：暂无 ，，危险级别：高危 ，，CVSS分值：官方未评定


影响版本


vBulletin版本5.0.0到最新的5.5.4


缝隙概述


vBulletin是美国Internet Brands和vBulletin Solutions公司共同开发的一款开源的贸易Web论坛法式。


一位匿名安全钻研人员在受欢迎的论坛软件vBulletin中发现未修补的0day并披露了有关PoC。凭据对已颁布代码的分析 ，，该0day允许攻击者在运行vBulletin实例的服务器上执行Shell号令而无需拥有指标论坛的账户。也就是说这是一个“预身份验证的远程代码执行”缝隙 ，，是可能对 web 平台造成最严重影响的安全缺点类型之一。


只管vBulletin 是一款商用产品 ，，但它依然是最热点的 web 论坛软件包 ，，其市场份额要大于多种开源的解决规划如 phpBB、、 、XenForo、、 、Simple Machines Forum、、 、MyBB等。由于vBulletin被超过10万个在线网站所使用 ，，因而该缝隙的潜在影响领域极大。


缝隙验证


POC：https://seclists.org/fulldisclosure/2019/Sep/31。


修复建议


vBulletin开发团队尚未对此事务进行回应。


参考链接


https://securityaffairs.co/wordpress/91689/hacking/unpatched-critical-0-day-vbulletin.html