Grupo de Usuarios de Tecnologías Libres

Se ha publicado una vulnerabilidad de inyección SQL que afecta a la rama 1.6.0 del popular gestor de contenidos Joomla. El fallo ha sido descubierto por Aung Khant que forma parte de 'YGN Ethical Hacker Group'.
Joomla es un popular gestor de contenidos en código abierto, que cuenta con una gran cantidad de plantillas y componentes que un usuario puedo utilizar para implementar de manera rápida una aplicación web. Estos componentes son programados por todo tipo de desarrolladores. Este hecho, unido a su popularidad, convierten al gestor de contenidos en un objetivo muy popular para que los atacantes.

El fallo fue puesto en conocimiento de Joomla el pasado 24 de enero y tuvo que esperar hasta principios de marzo para que fuera publicada una actualización que solucionase este fallo de seguridad, concretamente la versión 1.6.1. El grupo ha esperado una semana desde la publicación de la actualización para hacer público el fallo, dando este plazo para que los usuarios lleven a cabo la actualización del mismo.

Desde Hispasec recomendamos la actualización del gestor, y aprovechamos para recordar a todos los usuarios de este o cualquier gestor similar, que se mantengan al día de actualizaciones o posibles fallos encontrados en todos los componentes que tengan instalados junto a su gestor de contenidos.


Más información:

Joomla! 1.6.0 | SQL Injection Vulnerability
bl0g.yehg.net/2011/03/joomla-160 ... ility.html

Esta noticia encajaría mejor en el portal.

con inyecciones SQL , tambien se desbarata (es decir , hackea) facilmente cualquier foro creado en el CSS phpBB , solo cono un poco de tecnica y conocimiento...si quieren ustedes yo le puedo explicar...

Tensa Zangetsu escribió:con inyecciones SQL , tambien se desbarata (es decir , hackea) facilmente cualquier foro creado en el CSS phpBB , solo cono un poco de tecnica y conocimiento...si quieren ustedes yo le puedo explicar...

Sí hijo sí ... a ver, deléitanos con tus conocimientos de hacking and cracking, dinos cómo "desbaratar" un foro creado con el CSS phpBB

... CSS ... WTF!!!

Dudo que puedas hacerle una inyección SQL a un foro en phpBB, todas las consultas a las bases de datos están validadas y con los caracteres escapados correctamente, tal vez pudiera ser en la versión 2, pero en la 3 ya es prácticamente imposible. Aunque si crees poder hacerlo adelante y muestra tu método.

Por cierto a lo que se refiere KZKG^Gaara es que a lo que te refieres es a CMS, no a CSS que es algo completamente distinto, y de hecho phpBB tampoco es un CMS sino un sistema de foros.