[Админам]

Dear VB License Holder,

It has come to our attention that there may be a potential security vulnerability in VBSEO affecting the latest version of the software (and potentially other versions as well). We've attempted to contact the vendor, but as they have been non-responsive we felt we should alert the community as many of our customers use this add-on software.

If you think you might be running a vulnerable version of the software, there is a simple fix: just comment out the following lines in the file vbseo/includes/functions_vbseo_hook.php:

if(isset($_REQUEST['ajax']) && isset($_SERVER['HTTP_REFERER']))
$permalinkurl = $_SERVER['HTTP_REFERER'].$permalinkurl;

should be changed to:

// if(isset($_REQUEST['ajax']) && isset($_SERVER['HTTP_REFERER']))
// $permalinkurl = $_SERVER['HTTP_REFERER'].$permalinkurl;

If you are running the "Suspect File Versions" diagnostics tool, you will additionally need to generate a new MD5 sum of the above file and edit upload/includes/md5_sums_crawlability_vbseo.php to use the new MD5 sum on the line:

Please be aware that you are making these changes at your own risk. We don't know if making this change affects the terms of your VBSEO license and we can't be responsible if making this change breaks your site.

CVE-2014-9463 has been assigned to this potential vulnerability by cve.mitre.org.
Regards,

The vBulletin Team

вольный перевод:

Дорогой друг,

если ты ещё юзаешь VBSEO, то мы имеем удовольствие сообщить, что оно, оказывается, небезопасно...
чтобы что-то пофиксить, закомментируй строки

if(isset($_REQUEST['ajax']) && isset($_SERVER['HTTP_REFERER']))
$permalinkurl = $_SERVER['HTTP_REFERER'].$permalinkurl;

в файле vbseo/includes/functions_vbseo_hook.php

Мы не знаем, как эта правка сочетается с лицензией на VBSEO и знать не хотим, кроме того, вообще весь сайт переломаться может, наше дело - предупредить, остальное - на твой страх и риск

Чмоки, команда vBulletin

Лучше скажите, чем грозит.

Originally Posted by nop

чем грозит

да как обычно
какиры-коммерсанты воспользуются дырой и будут свои дорвеи заливать
или вариант, какиры-школьники сольют базу и на продажу выставят на каком то школофоруме "околокакирской тематики"
или еще вариант, какиры-крутые-перцы будут измываться над админами, постоянно меняя индексную страницу на свою с текстами типа "мы крутые перцы-какиры"
вариантов много... =)

Если я, допустим , тупо отключу vbseo модуль - проконает?

Лучше правильно удалить и забыть как страшный сон

Originally Posted by raynar

Если я, допустим , тупо отключу vbseo модуль - проконает?

Да, только потом пройдитесь ручками или каким-нибудь "айболитом", на предмет поиска шеллов и т.д.