Mise à jour de sécurité d'IP.Blog 1.2.4

[Erwin]

IPS a publié une mise à jour pour la sécurité d'Invision Community Blog v1.2.4

 

Une faille de sécurité a été découverte sur IP.Blog 1.2.4 et versions antérieures, permettant d'effectuer une attaque par injection SQL.

 

Le pack de téléchargement d'IP.Blog 1.2.4 a été mis à jour. Pour mettre à jour votre installation d'IP.Blog, téléchargez le fichier ci-dessous et uploadez-le sur votre serveur (modules/blog/lib/entry_reply_entry.php). Vous pouvez également corriger le fichier manuellement (voir instructions ci-dessous).

 

Télécharger le fichier :

 

entry_reply_entry.php (8.49 Ko)

 

Instructions de mise à jour manuelle :

 

Ouvrez le fichier modules/blog/lib/entry_reply_entry.php

 

Trouvez (aux alentours des lignes 53 à 58) et remplacez :

//-------------------------------------------------
	// Do we have the information needed
	//-------------------------------------------------
	if (!isset( $this->ipsclass->input['eid'] ) or !intval( $this->ipsclass->input['eid'] ) )
	{
		$this->ipsclass->Error( array( LEVEL => 1, MSG => 'missing_files') );
	}

	//-------------------------------------------------
	// Load the entry
	//-------------------------------------------------
	$this->entry = $this->ipsclass->DB->build_and_exec_query( array ( 'select'	=>	'*',
												   'from'	=>	'blog_entries',
												   'where'	=>	"entry_id = {$this->ipsclass->input['eid']}"
										 )		 );

 

par :

//-------------------------------------------------
	// Do we have the information needed
	//-------------------------------------------------
	$eid = intval($this->ipsclass->input['eid']);
	if ( !$eid )
	{
		$this->ipsclass->Error( array( 'LEVEL' => 1, 'MSG' => 'missing_files') );
	}

	//-------------------------------------------------
	// Load the entry
	//-------------------------------------------------
	$this->entry = $this->ipsclass->DB->build_and_exec_query( array ( 'select'	=>	'*',
												   'from'	=>	'blog_entries',
												   'where'	=>	"entry_id = {$eid}"
										 )		 );

 

--------------------

Annonce originale IPS :

IP.Blog 1.2.4 Security Update