Geeklog 1.3.8-1sr4 und 1.3.7sr5
Die Updates auf Geeklog 1.3.8-1sr4 bzw. 1.3.7sr5 beheben folgende Sicherheitsprobleme:
- Mitgliedern der Group Admin- und User Admin-Gruppen war es möglich, Root-Rechte zu bekommen (gefunden von Samuel M. Stone, Bug #135).
- Ein Admin für einen bestimmten Bereich (z.B. Artikel) konnte alle Objekte (z.B. Artikel) in diesem Bereich löschen, vorausgesetzt, er kannte deren ID.
- Es war möglich, die persönlichen Termine anderer User zu löschen, vorausgesetzt, man kannte deren ID.
- Man konnte die Kommentare zu einem Artikel einsehen, auch wenn man für den Artikel selbst nicht die nötigen Rechte hatte (gefunden von Peter Roozemaal).
- Es war möglich, die Account-Daten (inkl. des Passworts) eines Users zu ändern, wenn man ihn dazu brachte, auf einen eigens dafür fabrizierten Link zu klicken (gefunden von Jelmer, Fix vorgeschlagen von Vincent Furia).
- In der Kommentar-Anzeige bestand die Möglichkeit einer SQL-Injection (gefunden von Jelmer).
- Es war möglich, Javascript-Code in den Kalender zu "injizieren" (gefunden von Jelmer).
- In der Kommentar-Vorschau konnte man Javascript-Code ausführen (aber nicht speichern) lassen (gefunden von Jelmer).
Wie üblich gibt es ein Update-Archiv sowie ein Komplett-Archiv auf Geeklog 1.3.8-1sr4 sowie ein Update-Archiv für 1.3.7sr5.
Bitte nicht von der letzten Ziffer verwirren lassen - die Versionen sind 1.3.8-1sr4, aber 1.3.7sr5. Das Installieren des 1.3.7er-Updates über eine 1.3.8er-Version (oder umgekehrt) wird mit Sicherheit zu einer nicht funktionierenden Website führen ...