Разработчики свободной системы управления web-контентом Joomla опубликовали (https://www.joomla.org/announcements/release-news/5678-jooml...) экстренное обновление 3.6.4, в котором устранены две уязвимости, которым присвоен наивысший уровень опасности. Первая уязвимость (https://developer.joomla.org/security-centre/659-20161001-co...) (CVE-2016-8870 (https://security-tracker.debian.org/tracker/CVE-2016-8870)) позволяет зарегистрировать на сайте новую учётную запись, даже если регистрация новых пользователей запрещена в настройках. Вторая уязвимость (https://developer.joomla.org/security-centre/660-20161002-co...) (CVE-2016-8869 (https://security-tracker.debian.org/tracker/CVE-2016-8869)) позволяет любому внешнему посетителю создать нового пользователя и добавить его в любую группу доступа, в том числе передать ему права администратора. Проблемы проявляются в Joomla, начиная с выпуска 3.4.4, и вызваны (https://github.com/joomla/joomla-cms/commit/bae1d43938c87848...) оставлением в коде доступного для внешних обращений и не требующего аутентификации обработчика для регистрации новых пользователей.

URL: https://www.joomla.org/announcements/release-news/5678-jooml...
Новость: http://www.opennet.me/opennews/art.shtml?num=45374

• Критические уязвимости в системе управления контентом Joomla,Аноним, 10:33 , 26-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,Аноним, 10:36 , 26-Окт-16
    • Критические уязвимости в системе управления контентом Joomla,Наноним, 11:34 , 26-Окт-16
      • Критические уязвимости в системе управления контентом Joomla,Аноним, 13:57 , 26-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,AlexAT, 17:05 , 26-Окт-16
• Критические уязвимости в системе управления контентом Joomla,vitalif, 10:47 , 26-Окт-16
• Критические уязвимости в системе управления контентом Joomla,Аноним, 10:52 , 26-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,Аноним, 11:31 , 26-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,Ilya Indigo, 18:38 , 26-Окт-16
• Критические уязвимости в системе управления контентом Joomla,А, 11:43 , 26-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,Andrey Mitrofanov, 11:50 , 26-Окт-16
• Критические уязвимости в системе управления контентом Joomla,Аноним Анонимович Анонимов, 11:51 , 26-Окт-16
• Критические уязвимости в системе управления контентом Joomla,MMx, 12:00 , 26-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,Michael Shigorin, 13:29 , 26-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,Аноним, 23:17 , 26-Окт-16
    • Критические уязвимости в системе управления контентом Joomla,a, 20:10 , 27-Окт-16
• Критические уязвимости в системе управления контентом Joomla,omnomnin, 13:25 , 26-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,Georges, 14:35 , 26-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,scorry, 10:38 , 28-Окт-16
    • Критические уязвимости в системе управления контентом Joomla,anomymous, 21:12 , 28-Окт-16
      • Критические уязвимости в системе управления контентом Joomla,scorry, 20:55 , 30-Окт-16
• Критические уязвимости в системе управления контентом Joomla,Аноним, 13:30 , 26-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,Michael Shigorin, 13:33 , 26-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,YetAnotherOnanym, 19:08 , 26-Окт-16
• Критические уязвимости в системе управления контентом Joomla,th3m3, 14:45 , 26-Окт-16
• Критические уязвимости в системе управления контентом Joomla,Аноним, 18:02 , 26-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,Michael Shigorin, 18:09 , 26-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,A.Stahl, 21:03 , 26-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,atmega644, 05:52 , 27-Окт-16
  • Критические уязвимости в системе управления контентом Joomla,isox, 12:13 , 27-Окт-16

Судя по изменениям в версии 3.6.4 это не уязвимость, а явный бэкдор.

Знаешь, у именно вебмакак это таки может быть и уязвимость. Такого в любой вебне сплошь и рядом, совершенно без злого умысла. Просто от вебни тупеют.

и, таки, Вы пользуетесь вебней? Срочно рвите соединение! Иначе совсем превратитесь в макаку(без префикса "веб").

> и, таки, Вы пользуетесь вебней? Срочно рвите соединение! Иначе совсем превратитесь в
> макаку(без префикса "веб").

А вот видные мемберы класса подтянулись, так сказать.

Судя по эпичности дыр - это джумла...

Они там когда-нибудь кончатся?

Joomla 1.5 подвержена уязвимости?

новость не читай, тупые вопросы задавай

Нет. С ней всё в порядке.

Устранили _целых_ две, или _всего_ две? )

> Устранили _целых_ две, или _всего_ две? )

Думаешь, они те две набирали из ку-у-учи маленьких и _нецелых_? Однако!!

>Joomla
>Критические уязвимости
>2016

Неужели по сей день есть адепты? Это как говорят в местах не столь отдалённых — зашквар.

Да когда эта поделка уже загнётся. Позорнее php поделку ещё поискать.

> Да когда эта поделка уже загнётся. Позорнее php поделку ещё поискать.

Ну почему, когда-то phpNuke давала жару.  Одного поля ягоды, сколько лет уж говорю, молодёшш порой искренне обижается, а в жумле это не лечится на уровне проекта и команды...

Сравните:
http://www.opennet.me/openforum/vsluhforumID3/73925.html#35
http://www.opennet.me/openforum/vsluhforumID3/81531.html#98

А что посоветуете вместо PHP?

очевидный python

пипец,
они доиграются что хостеры их поделку будут банить сразу в договоре

увы, слишком популярна

А хостерам-то что за печаль? Каким образом юзер данные свои просрёт, что ли, или трафика накачает на свои же юзерские деньги? Пфэ.

> А хостерам-то что за печаль? Каким образом юзер данные свои просрёт, что
> ли, или трафика накачает на свои же юзерские деньги? Пфэ.

Хостерам печаль, когда эти поделки превращаются в куски бот-сети, и начинают получать-рассылать сотни и тысячи запросов в секунду.

>> А хостерам-то что за печаль? Каким образом юзер данные свои просрёт, что
>> ли, или трафика накачает на свои же юзерские деньги? Пфэ.
> Хостерам печаль, когда эти поделки превращаются в куски бот-сети, и начинают получать-рассылать
> сотни и тысячи запросов в секунду.

Согласен. С такого угла зрения — да.

собака лает - караван идет

> собака лает - караван идет

"и никто
не хочет и думать о том,
пока
титаник плывёт..."

> люди плюются - мухи кружатся

Fixed

Её кто-то ещё использует?

Спасибо обновились. А есть ли возможность получения оповещения об уязвимости по почте?

> А есть ли возможность получения оповещения об уязвимости по почте?

А у них что, ещё и анонсовой рассылки по новым выпускам нету?!

>А есть ли возможность получения оповещения об уязвимости по почте?

Конечно есть. Дай мне рутовый доступ к твоему почтовому серверу и я буду тебя уведомлять в случае появления очередной уязвимости.

https://vulners.com/search?query=joomla%20order:published

Идешь вот сюда: https://vulners.com/#subscriptions
Делаешь подписку по email на запрос  

type:joomla%20order:published

Получаешь email, если появилось что-то новое.