Alertes sécurité des applications PHP et MySQL, édition 138

MySQL ne fait l'objet d'aucune alerte de sécurité dans ses
versions courantes : MySQL 5.0.37 (communauté) et 5.0.36
(entreprise), 4.1.22, ainsi que 5.1.16-beta et 5.2.3. Les
mises à jour sont recommandées vers ces versions.

Pour PHP 5.2.1, de nombreuses vulnérabilités sont
identifiées, et à venir, durant le mois de la sécurité
PHP. Actuellement, le mieux est de passer à la version
5.2.1, et d'attendre la prochaine version qui devrait
arriver début Avril.

PHP 4.4.6 est sorti, Une version 4.4.7
est alors programmée même temps que PHP 5.2.2.

9 alertes de sécurité ont été émises cette semaine, concernant des applications suivantes :

Gallery, Horde, PHP Nuke, PostNuke, WordPress, ming, phpBB, phpMyAdmin et vBulletin

• Multiple PHP remote file inclusion vulnerabilities in Coppermine Photo Gallery (CPG) allow remote attackers to execute arbitrary PHP code via a URL in the (1) cmd parameter to (a) image_processor.php or (b) picmgmt.inc.php, or the (2) path parameter to (c
  
   http://cve.mitre.org/cgibin/cvename.cgi?name=CVE20071414 (15 visites)
  
  Site :  http://gallery.sourceforge.net/ (13 visites)


• Horde Framework and IMP Cleanup Cron Script Arbitrary File Deletion Vulnerability
  
   http://www.securityfocus.com/bid/22985 (10 visites)
  
  Site :  http://www.horde.org/ (9 visites)


• PHP-Nuke "lang" Local File Inclusion Vulnerability
  
   http://www.secunia.com/advisories/24484/ (11 visites)
  
  Site :  http://www.securityfocus.com/bid/22918 (10 visites)


• PostNuke Phgstats Module Remote File Include Vulnerability
  
   http://www.postnuke.com/ (9 visites)
  
  Site :  http://www.secunia.com/advisories/24485/ (11 visites)


• WordPress "year" Cross-Site Scripting Vulnerability
  
   http://wordpress.org/ (12 visites)
  
  Site :  http://www.phpsecurity.org/MOPB/MOPB192007.html (14 visites)


• MOPB-19-2007: PHP ext/filter Space Trimming Buffer Underflow V...
  
   http://sourceforge.net/projects/ming (13 visites)
  
  Site :  http://cve.mitre.org/cgibin/cvename.cgi?name=CVE20067147 (12 visites)


• PHP remote file inclusion vulnerability in includes/functions_mod_user.php in phpBB Import Tools Mod 0.1.4 and earlier allows remote attackers to execute arbitrary PHP code via a URL in the phpbb_root_path parameter.
  
   http://www.phpbb.com/ (11 visites)
  
  Site :  http://cve.mitre.org/cgibin/cvename.cgi?name=CVE20071325 (12 visites)


• The PMA_ArrayWalkRecursive function in libraries/common.lib.php in phpMyAdmin before 2.10.0.2 does not limit recursion on arrays provided by users, which allows context-dependent attackers to cause a denial of service (web server crash) via an array with
  
   http://www.phpmyadmin.net/ (10 visites)
  
  Site :  http://www.secunia.com/advisories/24503/q title=vBulletin aquot;Attached Beforeaquot; SQL Injection Vulnerability class=q (11 visites)


• vBulletin "Attached Before" SQL Injection Vulnerability
  
   http://www.vbulletin.com/ (9 visites)
  
  Site :  phpsecure (10 visites)

•  secunia (14 visites)


•  securityfocus (9 visites)