vBulletin 0day缝隙安全公告

颁布功夫 2019-09-25

缝隙编号和级别


CVE编号：暂无，危险级别：高危，CVSS分值：官方未评定


影响版本


vBulletin版本5.0.0到最新的5.5.4


缝隙概述


vBulletin是美国Internet Brands和vBulletin Solutions公司共同开发的一款开源的贸易Web论坛法式 。


一位匿名安全钻研人员在受迎接的论坛软件vBulletin中发现未建补的0day并披露了有关PoC 。凭据对已颁布代码的分析，该0day允许攻击者在运行vBulletin事俘的服务器上执行Shell号令而无需拥有指标论坛的账户 。也就是说这是一个“预身份验证的远程代码执杏妆缝隙，是可能对 web 平台造成最严沉影响的安全缺点类型之一 。


只管vBulletin 是一款商用产品，但它依然是最热点的 web 论坛软件包，其市场份额要大于多种开源的解决规划如 phpBB、XenForo、Simple Machines Forum、MyBB等 。由于vBulletin被超过10万个在线网站所使用，因而该缝隙的潜在影响领域极大 。


缝隙验证


POC：https://seclists.org/fulldisclosure/2019/Sep/31 。


建复建议


vBulletin开发团队尚未对此事务进行回应 。


参考链接


https://securityaffairs.co/wordpress/91689/hacking/unpatched-critical-0-day-vbulletin.html