VietNetwork.Vn

Phiên bản joomla bị ảnh hưởng: <=1.5.8

Liên kết bị khai thác:  /plugins/editors/xstandard/attachmentlibrary.php (Plugins xstandard editor)

Miêu tả lỗi:

• Cho phép liệt kê nội dung của thư mục, files trong host – Nếu server cấu hình không kỹ thì có thể bị liệt kê toàn toàn thư mục, files trong server (ảnh hưởng đến những server hosting nhiều website)
• Liệt kê các file backup (do admin website đặt ngay trên host nhưng ở một thư mục bên trong), hacker có thể tải về và tìm cách khai thác dữ liệu trong đó.

Hiện tại, để ngăn chặn việc khai thác này bạn nên xóa file attachmentlibrary.php.

Cách xử lý:

Mở file attachmentlibrary.php, tìm đến dòng sau:

function xs_build_path($path, $name) {$p = str_replace("\\", "/", trim($path));
Thay bằng

$p = str_replace("\\", "/", trim($path));
$p = str_replace("stories/../", "VV", $p);
Cách xử lý này không cho hacker có thể truy vấn tới thư mục cha của thư mục stories, đây là thư mục chứa tài nguyên ảnh của website.