WHMCS Security Patch Release

[www.ionic.pl 535]

This is an informational email on behalf of WHMCS

Information extracted from http://forum.whmcs.com/showthread.php?47828-Security-Patch

Security Patch Release

 

Within the past few hours, an ethical programmer disclosed to us details of an SQL Injection Vulnerability present in current WHMCS releases.

 

The potential of this is lessened if you have followed the further security steps, but not entirely avoided.

 

And so we are releasing an immediate patch before the details become widely known.

 

Installing the patch is simply a case of uploading a single file to your root WHMCS directory. This one file works for all WHMCS versions V4.0 or Later.

http://go.whmcs.com/26/secpatch

 

The events of last week have obviously put a lot of focus on WHMCS in recent days from undesirable people. But please rest assured that we take security very seriously in the software we produce, and will never knowingly leave our users at risk. And on that note if any further issues come to light, we will not hesitate to release patches for them - as we hope our past history demonstrates.

 

We thank you for choosing WHMCS.

 

[This is being mailed out but if you can help spread the word faster to other WHMCS users you know, please do.]

 

w skrócie, pobrać dbconnect.php i nadpisać bo jest sqli luczka.

[www.follownet.pl 8]

Jak na razie leżą oba DNSy osbługujące domenę whmcs.com albo dalej męczą ich DDoSami, co w konsekwencji powoduje, że nie można pobrać patcha.

 

Update:

Jednak WHMCS nadal nadal jest atakowane DDoSem. Patch w załączniku dla zainteresowanych.

may29patch.zip

Edytowano Maj 29, 2012 przez giasek (zobacz historię edycji)

[RafoX 233]

ktoś komuś zawinił ?

[Misiek08 285]

DDoS'ów było jak się dowiedziałem kilka i ciekawe jest to, że jedna ekipa była tak cienka, że się sama wkopała. Dostała odpowiedź pełnym łączem od WHMCS i dostawców WHMCS i sie położyła. Niestety aktualny atak jest już dla nich za duży. Życzę im powodzenia, znając atakujących.

 

EDIT: Znając, czyli wiedząc kto atakuje i wiedząc jak atakował wcześniej.

Edytowano Maj 29, 2012 przez Misiek08 (zobacz historię edycji)

[MikeJones 25]

Nie zauwazyłem, żeby w tym tygodniu strona whmcs leżała dłużej niż kilka minut, a ostatnio dość intensywnei z niej korzystam (support i fora), tak więc to raczej jakieś pierdy nie ddosy

[SecurityHost 17]

Panowie chodzi Wam obecna poprawka bez problemu?

 

Ponieważ u mnie przy zamawianiu konta mam błąd:

 

Warning: mysql_real_escape_string() [function.mysql-real-escape-string]: Access denied for user 'xxx@localhost'....

[www.follownet.pl 8]

Musisz pobrać najnowszą wersję patcha http://go.whmcs.com/26/secpatch

[SecurityHost 17]

tak wiem właśnie była pobrana.

 

Mówie o problemie po zrobieniu upgrade

[www.follownet.pl 8]

Po zaaplikowaniu powyższego patcha dwie niezależnie instancje WHMCS ruszyły. Z tego co wiem problem jeszcze jest z rejestracją domen IDN, nie wiem czy już to poprawili. Generalnie cytowany przez Ciebie błąd nie powinien już występować.

[SecurityHost 17]

Dzięki