Alertes sécurité des applications PHP et MySQL, édition 144

MySQL ne fait l'objet d'aucune alerte de sécurité dans ses versions courantes : MySQL 5.0.37 (communauté) et 5.0.38 (entreprise), 4.1.22, ainsi que 5.1.17-beta et 5.2.3-alpha.

Les mises à jour sont recommandées vers ces versions.

Pour PHP 5.2.1, 14 vulnérabilités sont identifiées depuis durant le mois de la sécurité PHP. Une version RC1 de PHP 5.2.2 est en cours de tests, de même que PHP 4.4.7 (voir le site de la QA ( http://qa.php.net (10 visites)).

12 alertes de sécurité ont été émises cette semaine, concernant des applications suivantes :

Claroline, Gallery, Invision Power Board, Joomla, MyBB, Smarty, WordPress, ez, ming, phpBB, phpMyAdmin et phpmailer

• Claroline RootSys Remote File Include Vulnerability
  
   http://www.securityfocus.com/bid/23609 (11 visites)
  
  Site :  http://www.claroline.net/ (4 visites)


• PHP remote file inclusion vulnerability in index.php in jGallery 1.3 allows remote attackers to execute arbitrary PHP code via a URL in the G_JGALL parameter.
  
   http://cve.mitre.org/cgibin/cvename.cgi?name=CVE20072158 (5 visites)
  
  Site :  http://gallery.sourceforge.net/ (5 visites)


• Invision Power Board "class_upload.php" Client-Side Cross Site Scripting Vulnerability
  
   http://www.frsirt.com/bulletins/10121 (4 visites)
  
  Site :  http://www.invisionboard.com/ (7 visites)


• Joomla! PCLTar.PHP Remote File Include Vulnerability
  
   http://www.securityfocus.com/bid/23613 (6 visites)
  
  Site :  http://www.frsirt.com/bulletins/10073 (4 visites)


• MyBB Calendar Module "day" Parameter Handling Remote SQL Injection Vulnerability
  
   http://www.mybboard.com/ (5 visites)
  
  Site :  http://cve.mitre.org/cgibin/cvename.cgi?name=CVE20072326 (9 visites)


• Multiple PHP remote file inclusion vulnerabilities in HYIP Manager Pro allow remote attackers to execute arbitrary PHP code via a URL in the plugin_file parameter to (1) Smarty.class.php and (2) Smarty_Compiler.class.php in inc/libs/; (3) core.display_deb
  
   http://smarty.php.net/ (4 visites)
  
  Site :  http://securityvulns.com/Qdocument850.html (5 visites)


• WordPress v2.1.3 >> remote file include~
  
   http://wordpress.org/ (4 visites)
  
  Site :  http://cve.mitre.org/cgibin/cvename.cgi?name=CVE20072156 (4 visites)


• Multiple PHP remote file inclusion vulnerabilities in Rezervi Generic 0.9 allow remote attackers to execute arbitrary PHP code via a URL in the root parameter to (1) datumVonDatumBis.inc.php, (2) footer.inc.php, (3) header.inc.php, and (4) stylesheets.php
  
   http://www.ez.no/ (4 visites)
  
  Site :  http://www.securityfocus.com/bid/23595 (4 visites)


• Microgaming Download Helper ActiveX Control Remote Buffer Overflow Vulnerability
  
   http://sourceforge.net/projects/ming (6 visites)
  
  Site :  http://cve.mitre.org/cgibin/cvename.cgi?name=CVE20072257 (5 visites)


• PHP remote file inclusion vulnerability in subscp.php in Fully Modded phpBB2 allows remote attackers to execute arbitrary PHP code via a URL in the phpbb_root_path parameter.
  
   http://www.phpbb.com/ (5 visites)
  
  Site :  http://www.frsirt.com/bulletins/10071 (5 visites)


• phpMyAdmin "PMA_sanitize()" and "fieldkey" Handling Cross Site Scripting Vulnerabilities
  
   http://www.phpmyadmin.net/ (4 visites)
  
  Site :  http://cve.mitre.org/cgibin/cvename.cgi?name=CVE20072255 (4 visites)


• Multiple PHP remote file inclusion vulnerabilities in Download-Engine 1.4.3 allow remote attackers to execute arbitrary PHP code via a URL in the (1) eng_dir parameter to addmember.php, (2) lang_path parameter to admin/enginelib/class.phpmailer.php, and t
  
   http://phpmailer.sourceforge.net/ (4 visites)
  
  Site :  frsirt (4 visites)

•  phpsecure (5 visites)


•  securityfocus (6 visites)