Falha 0-Day Whmcs Liberada Por @ug

[adrianojoi]

Aguém viu isso? será se procede?

http://pastebin.com/PWaXgn1N

[Felipe]

O que significa isso?

[Angel Junior]

COmo da para perceber que o ataque é encima dos boletos, para que arriscar ? Eu não uso boleto mesmo, ja fiz questão de renomear.

[Felipe]

COmo da para perceber que o ataque é encima dos boletos, para que arriscar ? Eu não uso boleto mesmo, ja fiz questão de renomear.

Beleza, se for isso mesmo, eu estou tranquilo, já que eu uso o boleto pelo Paypal/PagSeguro.

[Angel Junior]

Beleza, se for isso mesmo, eu estou tranquilo, já que eu uso o boleto pelo Paypal/PagSeguro.

Mais lembre-se de mudar o nome, pois o ataque não tem relação com os boletos, ele apenas usa os arquivos para isto.

[Felipe]

Mais lembre-se de mudar o nome, pois o ataque não tem relação com os boletos, ele apenas usa os arquivos para isto.

Já tomei as devidas providências, obrigado. :)

[Patty]

O gateway boleto está presente em todas as instalações do WHMCS, sendo usado ou não. Este exploit se vale exatamente deste arquivo, independente se vc usa boleto como forma de pagamento ou não. Se não usa, delete do servidor então. ;)

[Leo Amarante]

Pessoal, sou meio leigo em programação... mas pelo que entendi esse exploit é capaz de mudar a senha do whmcs? Nesse caso há alguma maneira de proteger o diretório admin? seria possível utilizar a função de proteger o diretório com senha sem comprometer o funcionamento do sistema?

[Clebson]

O patch que a whmcs.com disponibilizou (http://go.whmcs.com/26/secpatch) já corrigie esta falha.

[avonni]

Nesse caso há alguma maneira de proteger o diretório admin? seria possível utilizar a função de proteger o diretório com senha sem comprometer o funcionamento do sistema?

Sim, você pode e deve fazer isso.

Renomear a pasta admin também é bom, além de seguir aquelas outras dicas de segurança básicas do WHMCS.

Só fique atento que para renomear a pasta admin e manter o funcionamento do sistema você precisa indicar o novo caminho dela no arquivo configuration.php

Nesse link tem todo o básico de segurança do WHMCS.