[Админам]

Всем администраторам, которые держат сайты на DLE!

Обнаружена уязвимость в версии 8.2

http://домен.зона/index.php?do=lostpassword&douser=1

При вызове в браузере любой может сгенерировать новый пароль от аккаунта(ов).

Решение проблемы:

1. Залить патч
или
2. Обновить версию
или
3. Отключить восстановление пароля:

Открыть файл engine/modules/lostpassword.php

в самый верх добавить:

die();

За новость спасибо Serberg`у!

Тема на античате
http://forum.antichat.ru/showpost.ph...0&postcount=85

Версия ниже 8.3, ввел данный код, выдало:

Пользователь с таким именем не запрашивал восстановление пароля, либо данная ссылка уже устарела.

Значит нет уязвимости у меня?)

NightWisher77,

Originally Posted by TAIFUN

Обнаружена уязвимость в версиях ниже 8.3

TAIFUN,так я об этом же, у меня версии сайта 7,5 ... 8.0 - и вот такое показывает.

Версия ниже 8.3

И пишет то, что я выше цитировал.

Или я не правильно понимаю в чем уязвимость?
Я ввел указанный тобой адрес и ничего такого)

NightWisher77, упс, запарился
Честно говоря я в DLE хреново разбираюсь.. на домене висит наработка, но на нее времени нет. Попробовал у себя к ссылке добавить эту приставку - сменило мой пароль Как у вас и почему я не в курсе...

TAIFUN, а что у вас написало, когда ввели тот адрес?

И сменило пароль на какой?)

NightWisher77, да, сейчас напишу домен, логин и на какой пароль сменило, ага
Как обычная смена пароля...

Originally Posted by TAIFUN

NightWisher77, да, сейчас напишу домен, логин и на какой пароль сменило, ага
Как обычная смена пароля...

Просто, есть инфа, что это актуально только для 8.2.
Потому решил уточнить =)

Спасибо за ответы.

Найдена уязвимость в DLE 8.2(Только в этой версии)
/index.php?do=lostpassword&douser=1&lostid=
Получаем пас от пользователя с id 1
На офф сайте уже доступна заплатка.
В новых версиях дле даже можно версию узнать ))
engine/skins/images/logos.jpg
Теперь у каждой версии в админки стоит версия в лого )
Это просто шикарно )

Мда уж... разрабы ёклмн.
За ссылку спасибо NightWisher77`у

TAIFUN добавил 14.11.2009 в 21:22
NightWisher77, вы правы, актуально только в 8.2
Мне сообщили, я в срочном порядке решил поделиться.

Спасиб большое за инфу! Предупреждён, значит вооружён)