Выпущены исправления критических уязвимостей в vBulletin 6.0.0 и 5.7.5.
Причина: уязвимость межсайтового скриптинга (XSS) в панели управления администратора vBulletin 5.7.5 и 6.0.0 позволяет злоумышленникам выполнять произвольные веб-скрипты или HTML через параметр /login.php?do=login url.
Для лицензионных пользователей обновление доступно в личном кабинете https://members.vbulletin.com/patches.php.
Исправленные версии имеют обозначения:
vBulletin 6.0.0 Patch Level 1
vBulletin 5.7.5 Patch Level 1

Оригинал новости на английском:

vBulletin Security eBulletin
https://www.vbulletin.com/
20th September 2023

* Security Patch
* Your License Information
* Contact Us


------ Security Patch ------

A security issue has been found in the AdminCP log in functionality of vBulletin 6.0.0 and 5.7.5. This security patch addresses the concerns outlined in CVE-2023-39777 (https://nvd.nist.gov/vuln/detail/CVE-2023-39777). We have created a fix for the issue.

It is recommended that you apply this patch as soon as possible. To do so, download the patch for your version from https://members.vbulletin.com/patches.php and upload the files to your server. Overwrite the existing files with the new ones. If you have not upgraded to 5.7.5 yet, it is recommended that you do a full upgrade to vBulletin 5.7.5 Patch Level 1.

Patches Released:
vBulletin 6.0.0 Patch Level 1
vBulletin 5.7.5 Patch Level 1

If you are using an older version of vBulletin, you should upgrade to vBulletin 5.7.5 Patch Level 1 as soon as possible.

И вот что не довести было до ума 5-ку, а?
Одно не довели до ума и выпустили уже 6-ку...
Погоня за баблом не искоренима!!!

А для более древних версий уязвимость в силе? Или дыру сделали уже в пятёрке?

Originally Posted by True

Или дыру сделали уже в пятёрке?

В том месте, где заявлена дыра, в vb5/vb6 код не совпадает с vb3/vb4.

Хрена себе, уже vBulletin 6.0.0 есть!!