Cloneportal.de

Es ist schon fast lächerlich.

An den Sicherheitslücken, die in Version 7.5 von FB eingebaut wurden, hat sich in Version 7.6 nichts geändert.
Dieser Artikel: http://vkp.shiba.de/modules.php?name=News&file=article&sid=75 hat also nach wie vor Gültigkeit.

Die selbsternannten Sicherheitsgötter wussten aber von den Exploits:
http://www.nukecops.com/postlite35530-nuke.html
Leider wurde es im Release nicht beachtet....

Im Gegenteil, es wurden noch neue Exploits dazu "programmiert":
http://ravenphpscripts.com/postp26178.html

Wie nicht anders zu erwarten, wurden jetzt auch die Sicherheitslöcher in dem Kalendermodul "Event Calendar 2.13" von Holbrookau aufgedeckt.
www.securitytracker.com/alerts/2004/Nov/1012245.html

Wie in dem Artikel zu sehen ist, sind es die gleichen Fehler, die auch in meinem Kalender 1.1 enthalten waren und seit Version 1.2 bereits gefixt sind.

Hier der alte Artikel mit der Warnung, dass diese Fehler auch in anderen Modulen, die auf dem Originalmodul von Rob Sutton basieren, vorhanden sein müssten:
vkp.shiba.de/modules.php?name=News&file=article&sid=69

Der Author warnt in der Zwischenzeit auf seiner Homepage selbst vor der Verwendung des Moduls: phpnuke.holbrookau.net/

Aus aktuellem Anlass muss vor dem Einsatz von Modulen die von der "4n-Community" stammen dringend gewarnt werden.
In einigen der dort zum Download bereitgestellten Modulen wurden von namhaften deutschen phpNuke-Entwicklern Sicherheitslücken bzw. Backdoors gefunden und bestätigt.

Weitere Informationen hier:
- erste Bekanntmachung und Diskussion auf nukeboards.de
- Hintergründe und Unterstützung von Jens Ferner
- Hinweise und Unterstützung für Benutzer der Module im vkpMx (maax-design)

Achtung:
Trotz der ungewöhnlichen Namensähnlichkeit hat dies nichts mit Modulen zu tun, die von WarpSpeed gecodet wurden.

Beim durchstöbern durch das neue Administrationssystem von phpNuke 7.5 bin ich auf schwere Sicherheitslöcher gestossen.

Alle Module, die den neuen admin-Ordner im Modul-Ordner verwenden, können ohne Adminrechte, fast beliebig manipuliert werden.

Mir war es auf meinem Testsystem durch einfache URL-Manipulation möglich, Downloadkategorien anzulegen und User zu löschen. Mehr habe ich noch nicht getestet. Es ist aber mit Sicherheit über den gleichen Weg möglich auch alle anderen Adminfunktionen dieser Module zu steuern.

Von der Installation dieser Version muss deshalb dringend abgeraten werden.