SECUNIA ADVISORY ID:
SA47847

VERIFY ADVISORY:
Secunia.com
http://secunia.com/advisories/47847/
Customer Area (Credentials Required)
https://ca.secunia.com/?page=viewadvisory&vuln_id=47847

RELEASE DATE:
2012-02-03

DESCRIPTION:
A weakness and two vulnerabilities have been reported in Joomla!,
which can be exploited by malicious users and malicious people to
disclose sensitive information.

1) Certain unspecified input passed to the "administrator" section is
not properly verified before being used and can be exploited to
disclose sensitive information.

2) An unspecified error can be exploited to disclose the error log.

NOTE: This vulnerability only affects the 1.7.x versions.

3) Certain unspecified input passed to the "administrator" section is
not properly verified before being used and can be exploited to
disclose a path.

The weakness and the vulnerabilities are reported in versions 1.7.0
through 1.7.4 and versions prior to 2.5.1.

SOLUTION:
Update to version 1.7.5 or version 2.5.1.

PROVIDED AND/OR DISCOVERED BY:
The vendor credits:
1, 3) Jakub Galczyk
2) Alain Rivest

ORIGINAL ADVISORY:
Joomla! 1.7.5:
http://www.joomla.org/announcements/release-news/5411-joomla-175-released.html

Joomla! 2.5.1:
http://www.joomla.org/announcements/release-news/5410-joomla-251-released.html

Vulnerabilities:
http://developer.joomla.org/security/news/387-20120201-core-information-disclosure
http://developer.joomla.org/security/news/388-20120202-core-information-disclosure
http://developer.joomla.org/security/news/389-20120203-core-information-disclosure
 

ทีม Joomla! Project ได้ปล่อย Joomla 2.5.1 ออกมาให้ได้ใช้งานเป็นการเร่งด่วน ซึ่งมีการแก้ไขเกี่ยวกับเรื่องความปลอดภัยจากเวอร์ชันที่ถูกปล่อยออกมาก่อนหน้านี้ เป้าหมายที่ยิ่งใหญ่ของทีมผ่ายผลิต คือการให้ความช่วยเหลือต่อไปอย่างสม่ำเสมอ เพื่อชุมชน Joomla. ท่านสามารถเรียนรู้เพิ่มเติมเกี่ยวกับ Joomla! Developement ที่เว็บไซต์นักพัฒนา.

ขั้นตอนการปรับปรุงนั้นง่ายมาก และคำแนะนำที่สมบูรณ์มีอยู่ที่นี่ โปรดทราบว่าตอนนี้มีวิธีการที่ง่ายและดีกว่าการปรับปรุง FTPing ไฟล์

ทีม Joomla! Project ได้ปล่อย Joomla 1.7.5 ออกมาให้ได้ใช้งานเป็นการเร่งด่วน ซึ่งมีการแก้ไขเกี่ยวกับเรื่องความปลอดภัย

โปรดทราบว่า ผู้ใช้ส่วนใหญ่ควรจะปรับปรุงเว็บไซต์ของตนเอง เพื่อให้เป็นเวอร์ชัน 2.5.1 แทนของเดิม ซึ่งถูกปล่อยออกมาแล้วในขณะนี้ เวอร์ชัน 1.7.5 มีไว้สำหรับผู้ใช้ที่มีเหตุผลบางอย่าง ที่ไม่สามารถที่จะปรับปรุงให้เป็นเวอร์ชัน 2.5.1 ได้ ส่วนเวอร์ชั่น 1.7 จะมีระยะเวลาของการให้บริการจนถึงวันที่ 24 กุมภาพันธ์ 2555

เป้าหมายที่ยิ่งใหญ่ของทีมผ่ายผลิต คือการให้ความช่วยเหลือต่อไปอย่างสม่ำเสมอ เพื่อชุมชน Joomla. ท่านสามารถเรียนรู้เพิ่มเติมเกี่ยวกับ Joomla! Developement ที่เว็บไซต์นักพัฒนา.

ถ้าคุณกำลังต้องการที่จะอัพเกรดเว็บไซต์ของคุณ ที่ใช้เวอร์ชัน 1.7 อยู่ คุณควรจะทราบถึงวิธีการของการอัพเกรด ที่มีการเปลี่ยนแปลงตั้งแต่ Joomla 1.5 มา ดังนั้นเราจึงขอแนะนำให้คุณดูคำแนะนำที่นี่

SECUNIA ADVISORY ID:
SA47710

VERIFY ADVISORY:
Secunia.com
http://secunia.com/advisories/47710/
Customer Area (Credentials Required)
https://ca.secunia.com/?page=viewadvisory&vuln_id=47710

RELEASE DATE:
2012-01-26
DESCRIPTION:
A vulnerability has been discovered in the JE Story Submit component
for Joomla!, which can be exploited by malicious people to compromise
a vulnerable system.

The vulnerability is caused due to the "update()" function in the
components/com_jesubmit/controllers/request_get.php script improperly
validating the extension of an uploaded file. This can be exploited to
e.g. upload and execute arbitrary PHP files by passing an allowed MIME
media type in the HTTP headers.

The vulnerability is confirmed in version 1.9.3. Other versions may
also be affected.

SOLUTION:
Restrict access to the upload folder (e.g. via .htaccess).

PROVIDED AND/OR DISCOVERED BY:
Robert Cooper.
 

SECUNIA ADVISORY ID:
SA47728

VERIFY ADVISORY:
Secunia.com
http://secunia.com/advisories/47728/
Customer Area (Credentials Required)
https://ca.secunia.com/?page=viewadvisory&vuln_id=47728

RELEASE DATE:
2012-01-26
DESCRIPTION:
A vulnerability with unknown impact has been reported in the JE Story
Submit component for Joomla!.

The vulnerability is caused due to an unspecified error. No further
information is currently available.

The vulnerability is reported in versions prior to 1.9.

SOLUTION:
Update to version 1.9.

PROVIDED AND/OR DISCOVERED BY:
Reported by the vendor.

ORIGINAL ADVISORY:
http://joomlaextensions.co.in/product/JE-Story-Submit
 

SECUNIA ADVISORY ID:
SA47753

VERIFY ADVISORY:
Secunia.com
http://secunia.com/advisories/47753/
Customer Area (Credentials Required)
https://ca.secunia.com/?page=viewadvisory&vuln_id=47753

RELEASE DATE:
2012-01-25
DESCRIPTION:
Multiple vulnerabilities have been reported in Joomla!, which can be
exploited by malicious people to conduct cross-site scripting attacks
and disclose sensitive information.

1) Certain unspecified input is not properly verified before being
used. This can be exploited to disclose sensitive information.

2) Certain unspecified input is not properly sanitised before being
returned to the user. This can be exploited to execute arbitrary HTML
and script code in a user's browser session in context of an affected
site.

3) Certain unspecified input is not properly verified before being
used. This can be exploited to disclose sensitive information.

4) Certain unspecified input is not properly sanitised before being
returned to the user. This can be exploited to execute arbitrary HTML
and script code in a user's browser session in context of an affected
site.

The vulnerabilities are reported in versions 1.7.3 and prior.

SOLUTION:
Update to version 1.7.4 or upgrade to version 2.5.0.

PROVIDED AND/OR DISCOVERED BY:
The vendor credits:
1) Cyrille Barthelemy.
2) Ankita Kapadia.
3) Jean-Marie Simonet.
4) David Jardin.

ORIGINAL ADVISORY:
Joomla 1.7.4:
http://www.joomla.org/announcements/release-news/5405-joomla-174-released.html

Joomla 2.5.0:
http://www.joomla.org/announcements/release-news/5403-joomla-250-released.html

Vulnerabilities:
http://developer.joomla.org/security/news/382-20120101-core-information-disclosure
http://developer.joomla.org/security/news/383-20120102-core-xss-vulnerability
http://developer.joomla.org/security/news/384-20120103-core-information-disclosure
http://developer.joomla.org/security/news/385-20120104-core-xss-vulnerability