vBulletin News

In Verbindung mit den CMS Such-Widgets (letzte Themen, letzte Beiträge und der allgemeinen Suche) sowie der Artikelvorschau auf Sektionsseiten wurden in vBulletin 4.0.2. PL2 potenzielle XSS-Schwachstellen entdeckt. Eine XSS-Schwachstelle betreffend Blog-Titeln welche im allgemeinen Such-Widget (auf der Suche nach den neuesten Blog-Beiträgen) nicht richtig dargestellt werden, ist uns ebenfalls gemeldet worden. Während der Qualitätssicherung zu diesem Fehler wurden weitere, damit zusammenhängende Schwachstellen, gefunden. Dadurch verzögerte sich bis dato eine offizielle Ankündigung sowie eine Patch-Veröffentlichung. Um diese Fehler zu beheben, veröffentlichen wir diesen Sicherheitspatch.

Der Aktualisierungsvorgang ist ähnlich wie bei zuvor veröffentlichen Patch-Veröffentlichungen. Laden Sie den Patch einfach aus dem Kundenbereich herunter, entpacken Sie die Dateien und laden Sie diese auf Ihren Webserver. Überschreiben Sie dabei die bestehenden Dateien. Wenn Sie derzeit vBulletin 4.0.2 PL2 einsetzen, ist kein Update-Skript notwendig. Falls Sie 4.0.2 oder 4.0.2 PL1 einsetzen, beachten Sie die Hinweise unterhalb, da sich der Aktualisierungsvorgang etwas unterscheidet.

Wie bei allen Sicherheitspatches empfehlen wir allen KundInnen so bald wie möglich zu aktualisieren, um etwaige Schäden durch diese Sicherheitslücke zu vermeiden.

Falls Sie bereits vBulletin 4.0.2 PL2 einsetzen, müssen Sie das Update-Skript nicht ausführen.

Falls Sie vBulletin 4.0.2 oder 4.0.2 PL1 einsetzen, führen Sie folgende Schritte durch:
1) Laden Sie die 4.0.2 PL3 Patch-Dateien herunter.
2) Deaktivieren Sie Ihr Forum.
3) Stellen Sie sicher, dass der install-Ordner auf Ihrem Webserver vorhanden ist. Falls dies nicht der Fall ist, laden Sie dieses Verzeichnis in Ihr Forenstammverzeichnis hoch, mit der Ausnahme der Datei install/install.php.
4) Laden Sie die Patch-Dateien in Ihr vBulletin Stammverzeichnis.
5) Öffnen Sie die Seite http://IhreSeite.tld/Forumverzeichnis/install/upgrade_402_salt.php
6) Aktivieren Sie Ihr Forum.

Hiermit werden alle Fehler der bisherigen Patch Level-Veröffentlichungen behoben, inklusive jener der vBulletin 4.0.2 PL2. Es ist nicht notwendig andere Skripte auszuführen.

Im Kundenbereich finden Sie die Sicherheitspatches im gleichnamigen Bereich für Ihre vBulletin-Version. Nach dem Herunterladen der Patch-Version, entpacken Sie die Dateien und laden Sie diese mittels FTP hoch. Dabei überschreiben Sie die existierenden Dateien. Damit wird Ihr vBulletin auf die neueste Patch Level-Version aktualisiert.

Aktualisierung von einer früheren Version

Falls Sie noch nicht vBulletin 4.0.2, 4.0.2 PL1 oder 4.0.2. PL2 einsetzen, laden Sie die neueste Version (4.0.2 PL3) herunter und führen Sie wie gewohnt eine Aktualisierung durch.

vBulletin 4.0.2 PL3 herunterladen

Wie gewohnt, finden Sie die heute veröffentlichte Version für alle KundInnen mit einer gültigen und aktiven Lizenz im Kundenbereich.

Quelle: http://www.vbulletin.com/forum/showt...-PL3&p=1951799