URGENTE: Falha da segurança grave - Effect Web 1.8

[Erick-Master]

Prezados,

Fui notificado sobre uma falha de segurança na Effect Web v1.8.5, a atual em código aberto.
Efetuando uma breve análise, pude constar de tal falha é de nível gravíssimo, sendo assim imediatamente tratei de corrigi-la.
O problema em questão até onde identifiquei, se encontra no gerador de rankings, onde pode ser feito qualquer tipo de SQL Inject.
Esta falha já possui um hotfix e todos os usuários da Effect Web v1.8.x poderão estar efetuando a correção de maneira muito simples.

Este é o código do ranking: [Somente usuários registrados podem vem os links. ]

1. Efetue o download do arquivo no link informado;
2. O arquivo deverá chamar "CTM_Ranking.class.php";
3. Aplique o arquivo no diretório: "modules/classes/";
4. Fim.

Feito isso, seu site estará seguro.
Peço desculpas por eventual caso e, caso ocorram outras falhas graves como do tipo, logo que notificado estarei corrigindo.

ATENÇÃO: NÃO DEIXE DE APLICAR A CORREÇÃO EM SEU SITE... JÁ HOUVE RELATOS DE SERVIDORES AFETADOS.

[]'s

[viOleNt]

Cara, outros dificilmente iriamos correr atras de fixar e ou avisar.
Te admiro muito por sempre ter essa postura, alem de ser um dos poucos que considero como amigo.
Obrigado pelo fix.

[WoLfulus]

Cara, outros dificilmente iriamos correr atras de fixar e ou avisar.

por isso que eu agradeci o post... achei bacana ter feito tão rápido o fix

[FlavioBarreto]

O meu foi um desses ksksksks, enfim parabéns, é raro alguém parar com o projeto e ainda atualizar a falha sem ganhar nada.

[hadeslan]

vou repassar pro pessoal aqui

[viOleNt]

por isso que eu agradeci o post... achei bacana ter feito tão rápido o fix

não entendi o que você falou, ja vim com 24525 pedras na mão, sorry.

[WoLfulus]

eu tinha tentado dar uma olhada, mas n consegui ver os logs no ftp do guilherme...
eu cheguei achar q era até exploit na versão do php (que não é difícil pq a maioria usa 5.2.17)

tem uns RCE mto cabuloso nas versões antigas do php

[QuuesT]

Erick tava usando essa versão, um fd... apagou minha coluna character e memb_info tava louco sem saber oque tinha acontecido, mas obrigado ai pelo fix tu e 10!

[Mr.Junior]

Muito bom Erick, por isso admiro seu trabalho diferente de muitos desenvolvedores por ae.

Trank's.

[GuilhermeSouza]

Pra quem não sabe como atualizar sua Ranking.class.php, faça o seguinte:

Localize essa parte:

	private function Ranking_System()
	{
		global $_Ranking;
		
		if($_GET["cmd"] == TRUE)
		{
			$Ranking = $_POST["Ranking"];
			$Top_Rank = $_POST["Top_Rank"];
			
			if(empty($Ranking))
			{
				exit("
 Selecione o Ranking
");
			}
			elseif(empty($Top_Rank))
			{
				exit("
 Selecione o Top Ranking
");
			}
			else
			{
				switch($Ranking)
				{

Troque por:

	private function Ranking_System()
	{
		global $_Ranking;
		
 		if($_GET["cmd"] == TRUE)
 		{
 			$Ranking = $_POST["Ranking"];
			$Top_Rank = intval($_POST["Top_Rank"]);
 			
 			if(empty($Ranking))
 			{
 				exit("
 Selecione o Top Ranking
");
 			}
			elseif(array_search($_POST["Top_Rank"], $_Ranking['Gerator']['TOP']) === false)
 			{
 				exit("
 Selecione um Top Ranking correto
");
 			}
			else
			{
				switch($Ranking)
				{

Pronto!
Agora seu CTM_Ranking.class.php estará atualizado e não precisará recriar todos os seus rankings customs.
Abraços e, Erick, mais uma vez obrigado pelo fix!