Acronym Mod v0.9.5 Remote SQL Injection

Administrator Anmeldungsdatum: 02.08.2002 Beiträge: 4735 Wohnort: Aachen

The Acronym Mod which is included in phpBB2 Plus 1.53 is Vulnerable and should be fixed asap. Please make these codechanges in the file admin/admin_acronyms.php

FIND:

Code:

$acronym_id = ( isset($_GET['id']) ) ? $_GET['id'] : 0;

REPLACE WITH:

Code:

$acronym_id = ( isset($_GET['id']) ) ? intval($_GET['id']) : 0;

FIND:

Code:

$acronym_id = ( isset($_POST['id']) ) ? $_POST['id'] : 0;

REPLACE WITH:

Code:

$acronym_id = ( isset($_POST['id']) ) ? intval($_POST['id']) : 0;

FIND:

Code:

$acronym_id = ( isset($_POST['id']) ) ? $_POST['id'] : $_GET['id'];

REPLACE WITH:

Code:

$acronym_id = ( isset($_POST['id']) ) ? intval($_POST['id']) : intval($_GET['id']);

Thanks to The Kuka !

phpBB2.de User Anmeldungsdatum: 20.07.2003 Beiträge: 10 Wohnort: Spain

Hi Stefan,

Thanks to comment and your help to others users.

Greets an Happy New Year 2007 Wink

These code changes are not for the most recent version of plus. It's only for users who are running boards lower than 2.0.22 right? Because, my boards we already up to date, except my board running 2.0.19.

Ich würde bei dem Fix auch gerade noch die phpBB Konvention für die übermittelten Variablen mitkorrigieren. Der (auch für phpBB Mod DB Validation z.B. erforderliche) Schritt wäre, dass man Long Vars einsetzt.

Also $_POST wäre $HTTP_POST_VARS usw.

phpBB verarbeitet diese Vars in der common.php und gewährleistet somit höhere Kompatibilität und noch weitere Sicherheit, da das so im 2er verankert wurde blieb die Konvention beim 2er bei den Long Vars. Diese werden übrigens auch entsprechend der Einstellung der Magic Quotes verarbeitet. Mit $_POST oder $_GET als Verwendung in phpBB Skripten kann es da also u.U. knallen.

In diesem Fall werden in der Tat nur Nummern übergeben, aber an der Stelle wo das Acronym hinzugefügt wird wäre noch die Übergabe eines Strings.

Nur ne Idee. Very Happy

Gruß,
cback

@jonny-b:
If I understand what you mean, thats not correct. This change is not a part of phpBB Vanilla, its a part of a MOD wich is included into the Plus Software. So you have to do that fix. If you changed the Acronym MOD it could be that you already have the "Long-Vars" Syntax. In this case your changes would be like this:

Code:

#
#-----[ OPEN ]------------------------------------------
#
admin/admin_acronyms.php
#
#-----[ FIND ]------------------------------------------
#
$acronym_id = ( isset($HTTP_GET_VARS['id']) ) ? $HTTP_GET_VARS['id'] : 0;
#
#-----[ REPLACE WITH ]------------------------------------------
#
$acronym_id = ( isset($HTTP_GET_VARS['id']) ) ? intval($HTTP_GET_VARS['id']) : 0;
#
#-----[ FIND ]------------------------------------------
#
$acronym_id = ( isset($HTTP_POST_VARS['id']) ) ? $HTTP_POST_VARS['id'] : 0;
#
#-----[ REPLACE WITH ]------------------------------------------
#
$acronym_id = ( isset($HTTP_POST_VARS['id']) ) ? intval($HTTP_POST_VARS['id']) : 0;
#
#-----[ FIND ]------------------------------------------
#
$acronym_id = ( isset($HTTP_POST_VARS['id']) ) ? $HTTP_POST_VARS['id'] : $HTTP_GET_VARS['id'];
#
#-----[ REPLACE WITH ]------------------------------------------
#
$acronym_id = ( isset($HTTP_POST_VARS['id']) ) ? intval($HTTP_POST_VARS['id']) : intval($HTTP_GET_VARS['id']);

HTH

ah, never mind. I've offically gone crazy. Sad

sorry.