Strona Główna Systemy CMS .

Podatność na SQL Injection wykryto w trzech modułach: DatsoGallery, MyContent oraz PrayerCenter. We wszystkich trzech możliwe jest wstrzyknięcie dodatkowego kodu do ciągów przechowujących treść zapytań SQL. W praktyce oznacza to, że napastnik może tak skonstruować dane wejściowe przekazane do systemu Joomla!, aby wymienione wcześniej moduły wykonały zmodyfikowane zapytania SQL. Do wszystkich wymienionych modułów można łatwo znaleźć w Sieci exploity, co wystawia witryny korzystające z Joomli! na atak z rąk nie tylko kompetentnych hakerów, ale też tzw. script-kiddies.

W modułach PrayerCenter i MyContent szkodliwe ciągi znaków, umożliwiające modyfikację zapytań do bazy, można przekazać w parametrze id. DatsoGallery wymaga „nieco więcej” starań – zmianę trzeba wprowadzić w sygnaturze przeglądarki (User Agent). W każdym z przypadków może dojść do nieautoryzowanego ujawnienia danych.

Atakując strony wykorzystujące wspomniane moduły, cyberprzestępcy mogą uzyskać dostęp do danych kont użytkowników, wykradać ich pocztę, wiadomości prywatne i wpisy na forach oraz modyfikować profile. W sytuacji gdy na Joomli! bazuje serwis pełniący nieco ważniejszą rolę, wspomniane luki mogą posłużyć atakującym nawet do wykradnięcia poufnych informacji lub zaszkodzenia wizerunkowi powiązanej z portalem organizacji.

Do chwili obecnej jedynie moduł PrayerCenter doczekał się poprawki – wersji 1.5.0. W dwóch pozostałych modułach do czasu ukazania się poprawek można się co najwyżej postarać o łatanie kodu we własnym zakresie albo zrezygnować z ich używania.

źródło: InfoProf.pl

Najważniejszym problemem, który został rozwiązany przez aktualizację, jest – jak podaje serwis CMSWire – błąd w systemie aliasów URL. Jak można przeczytać w firmowym blogu, „wszystkie fundamentalne problemy wprowadzone w wersji 3.10.0/4.0.0 zostały poprawione. Teraz z eZ Publish rozprowadzane jest rozszerzenie ezurlaliasmigration, które pozwala na przeniesienie własnych aliasów URL oraz elementów ich historii (zakładając, że elementy te nie są uszkodzone przez błędy, które wprowadzone zostały w wersji 3.10.0/4.0.0)”.

Rozszerzenie tworzy tymczasową bazę danych, która przechowuje istniejące aliasy URL, podczas gdy aktualizacja robi swoje. Gdy CMS zostanie już zaktualizowany, wtyczka ponownie pobiera aliasy z bazy, omijając w ten sposób problemy napotkane przez deweloperów. Dodatkowo wprowadzono możliwość ustawiania, czy alias URL będzie linkiem bezpośrednim czy też przekierowaniem. Do tej pory wszystkie aliasy były ustawiane automatycznie jako przekierowania.

Jednocześnie firma poinformowała o zbliżającej się dacie premiery wersji beta edycji 4.1 eZ Publish. Wersja ta będzie obsługiwała system operacyjny Sun Solaris i bazę danych Oracle, przyniesie też użytkownikom nowy edytor i możliwość jednoczesnego umieszczania wielu plików na serwerach.

źródło: CMSWire.com

Kentico podkreśla, że teraz firmy hostingowe wykorzystujące platformę serwerową Windows będą mogły zaoferować swoim klientom Kentico CMS jako cenny dodatek do oferowanych usług bez ponoszenia dodatkowych kosztów. A oferta ta jest naprawdę interesująca, ponieważ darmowa wersja zawiera edytor WYSIWYG, mechanizmy SEO, zarządzanie newsami, blogami, kanałami RSS, newsletterami, systemami forum, ankietami, formularzami, galeriami zdjęć, a nawet katalogami produktów ze zintegrowanym koszykiem i systemami płatności.

Co więcej, darmowa edycja Kentico CMS może być wykorzystania zarówno w celach prywatnych, jak i komercyjnych, bez konieczności wnoszenia jakichkolwiek opłat licencyjnych. Ma oczywiście swoje ograniczenia: liczba stron wewnątrz serwisu nie może przekroczyć tysiąca, liczba zarejestrowanych użytkowników nie może przekroczyć stu, a ponadto dopuszczalny jest tylko jeden właściciel i jeden redaktor w ramach pojedynczej instalacji. Serwisy zbudowane z wykorzystaniem Kentico CMS będą też wyświetlały na stronach niewielkie logo firmy w stopce każdej ze stron.

Petr Palas, założyciel i dyrektor zarządzający Kentico, powiedział, że „po czterech udanych latach dostarczania rozwiązania CMS Kentico setkom klientów biznesowych zdecydowaliśmy się wydać darmową edycję naszego programu, by umożliwić większej liczbie użytkowników skorzystanie z naszej platformy. Daje to też firmom hostingowym szansę na zwiększenie wartości ich oferty dla środowisk ASP.NET przez dołączenie do nich naszego oprogramowania”.

źródło: Webhosting.info