Если у вас включен calendar.php, любой пользователь может заполучить md5-hash любого аккаунта (включая админ) - т.е. практически завладеть вашим аккаунтом - и сделать много других плохих вещей.
Залатать очень просто.

2.3.4 не подвержена. вообще-то, ту версию и выпустили ради этого фикса.

Шаг 1.
Откройте calendar.php
найдите

code:

else if ($action == "edit")
{

$eventid = intval($eventid);    

Шаг 2.
сообщите другим админам!.
всё

Сообщение было отредактировано yujanin 04-02-2004 в 18:24

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

И это на 2.3.4? Там же фиксили это уже вроде?

__________________
**censored**

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

хм. дыра была опубликована 5 января сего года. .4 позже вышел?

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

Уточнение: этот баг пофиксили в 2.3.4, так что владельцы этих версию могут расслабиться.

__________________
**censored**

Сообщить модератору об этом сообщении | Предупреждение | IP: определен