发布日期：2013-10-04
更新日期：2013-10-13
受影响系统：
VBulletin VBulletin 5.x
VBulletin VBulletin 4.x
描述：
--------------------------------------------------------------------------------
VBulletin是一个强大灵活并可完全根据自己的需要定制的论坛程序套件。
vBulletin 4.x.x及5.x.x允许攻击者利用vBulletin配置机制创建另一个管理员账户，即可具有vBulletin应用的完全控制权，然后控制其所支持的站点。要利用此漏洞，攻击者需要具有vBulletin upgrade.php准确的URL及用户ID。
<*来源：vBulletin
链接：?source=nww_rss&utm_source=twitterfeed&utm_medium=twitter
*>
建议：
--------------------------------------------------------------------------------
厂商补丁：
VBulletin
---------
厂商目前尚未透露该漏洞的根本原因及影响，但是建议用户在vBulleting 4.x及5.x中分别删除/install和/core/install目录。对于无法删除这些目录的用户，建议阻止通过WAF或Web服务器访问配置访问或重定向到upgrade.php的请求。