[Erwin]

IPS a publié une mise à jour pour la sécurité d'Invision Community Blog v1.2.4

Une faille de sécurité a été découverte sur IP.Blog 1.2.4 et versions antérieures, permettant d'effectuer une attaque par injection SQL.

Le pack de téléchargement d'IP.Blog 1.2.4 a été mis à jour. Pour mettre à jour votre installation d'IP.Blog, téléchargez le fichier ci-dessous et uploadez-le sur votre serveur (modules/blog/lib/entry_reply_entry.php). Vous pouvez également corriger le fichier manuellement (voir instructions ci-dessous).

Télécharger le fichier :

entry_reply_entry.php (8.49 Ko)

Instructions de mise à jour manuelle :

Ouvrez le fichier modules/blog/lib/entry_reply_entry.php

Trouvez (aux alentours des lignes 53 à 58) et remplacez :

//-------------------------------------------------
		// Do we have the information needed
		//-------------------------------------------------
		if (!isset( $this->ipsclass->input['eid'] ) or !intval( $this->ipsclass->input['eid'] ) )
		{
			$this->ipsclass->Error( array( LEVEL => 1, MSG => 'missing_files') );
		}

		//-------------------------------------------------
		// Load the entry
		//-------------------------------------------------
		$this->entry = $this->ipsclass->DB->build_and_exec_query( array ( 'select'	=>	'*',
													   'from'	=>	'blog_entries',
													   'where'	=>	"entry_id = {$this->ipsclass->input['eid']}"
											 )		 );

par :

//-------------------------------------------------
		// Do we have the information needed
		//-------------------------------------------------
		$eid = intval($this->ipsclass->input['eid']);
		if ( !$eid )
		{
			$this->ipsclass->Error( array( 'LEVEL' => 1, 'MSG' => 'missing_files') );
		}

		//-------------------------------------------------
		// Load the entry
		//-------------------------------------------------
		$this->entry = $this->ipsclass->DB->build_and_exec_query( array ( 'select'	=>	'*',
													   'from'	=>	'blog_entries',
													   'where'	=>	"entry_id = {$eid}"
											 )		 );

--------------------
Annonce originale IPS :
IP.Blog 1.2.4 Security Update