Optimizator Field – блог веб разработчика
CSS вёрстка. Внутренняя оптимизация сайтов. Настройка Wordpress.
Уязвимость в WordPress темах
Входящая во многие wordpress темы утилита для изменения размера изображений timthumb.php, уязвима к загрузке произвольного PHP-кода.
В конфиге скрипта лежат несколько доменов (flickr.com, picasa.com, blogger.com, wordpress.com, img.youtube.com, upload.wikimedia.org, photobucket.com) с которого ему разрешено загружать изображения.
Из-за недостаточной проверки передаваемых параметров существует возможность загрузить веб-шелл на сервер используя список доверенных доменов для создания поддоменов с такими же названиями. Т.е. timthumb.php считает ссылку blogger.com.hackersite.com/webshell.php легитимной и позволяет загрузить скрипт на сервер.
Уязвимость обнаружил , после того, как его блог был взломан.
Пропатченный
(via )
UPDATE: уже появилась и реализация этой «дыры» с использованием superpuperdomain.com
Как лечить последствия –
