Se ha liberado una nueva versión del sistema de foros phpBB, desde Marzo de este año no ha salido ninguna versión nueva así que los cachondos de phpBB le han puesto la muletilla «la paciencia es una virtud». Esta nueva versión que está considerada como de mantenimiento (WTF?) corrige un gran número de errores, mejora la usabilidad y el rendimiento y como dicen, por desgracia, tambien encontraron un agujero de seguridad en la versión 3.0.7 que afecta a aquellos foros que tienen el flash bbcode activado (por defecto está desactivado). El problema estaría en navegadores basados en WebKit donde el flash bbcode podría ser usado para ejecutar código javascript y aprovechar una vulnerabilidad de CSS (Cross Site Scripting).
Para solucionar ese problema en versiones 3.0.7 hay que ir a includes/message_parser.php y buscar la siguiente línea:
// Apply the same size checks on flash files as on images
Justo antes de esa línea añadimos lo siguiente:
$in = str_replace(' ', '%20', $in);
// Make sure $in is a URL.
if (!preg_match(‘#^’ . get_preg_expression(‘url’) . ‘$#i’, $in) &&
!preg_match(‘#^’ . get_preg_expression(‘www_url’) . ‘$#i’, $in))
{
return ‘[flash=’ . $width . ‘,’ . $height . ‘]’ . $in . ‘[/flash]’;
}
Este parcheo no corrige el problema en los posts donde ya se haya reproducido pero han creado un script de escaneo para buscarlos (hay que subir el directorio raiz del phpBB). Comentan además que la versión también corrige un problema con el plugin recaptcha que podría haberlo vuelto vulnerable permitiendo a los spammers campar a sus anchas por los sitios afectados.
Recomiendan actualizar lo antes posible y aquí viene el tirón de orejas ya que comunican que solo darán soporte a las versiones 3.0.8, tanto instaladas de cero, como actualizadas o convertidas. Me parece de bastante mal gusto dejar con el culo al aire a la gente que esté usando versiones anteriores, se tiran ocho meses para sacar una versión nueva y encima de desentienden de los que no actualicen, recuerdo el cachondeo que se traian con las versiones 2.0.x que tenían que ser parcheadas por los propios usuarios sin ningún tipo de soporte porque estaban de lleno en el desarrollo de la versión 3 y ahora, con esto, parece que vuelven a la andadas.
El anuncio original con los enlaces de descarga, aquí.
