Уязвимости InstantCMS

Все наверно читали как вскрыли банковские системы, увели очень много денег. Так вот я скажу так: есть реальные проблемы, стоит о них писать, но следует понимать, что чем больше прибыль возможная, тем больше усилий приложат, даже в той мере, которой разработчики Инстанта не могут предположить. Но это очень крайняя мера. По крайней мере, сейчас реальные проблемы это спам, который проскакивает время от времени на блоги и форум, отсюда и плясать стоит, а вскрытия которые могут раскопать, они я думаю бесконечны, но вот кто их захочет копать без мотивации, сиречь прибыли возможной?) А все эти исследования имхо больше пиар.

Positive Technologies расковыряли код InstantCMS на предмет дырок.

Они по доброте душевной присвоили себе багрепорт, что не совсем верно. Они действительно присылали сообщения об уязвимостях, но тогда, когда они уже были закрыты нами без чьей-либо помощи.
По поводу последней описываемой там уязвимости могу прокомментировать лишь то, что ее реализация крайне маловероятна. И как они сами подчеркнули

Возьмем простейший пример — виртуальный хостинг с общим хранилищем сессий. У хостинга есть ошибка конфигурации — значение директивы PHP session.save_path, которое по умолчанию равно /tmp

Т.е. задавать session.save_path средствами CMS неправильно. Изолированность сайтов должна быть обеспечена средствами серверных настроек. Все остальные решения неверные.
А по поводу sql инъекций в админке — это давно известный факт. И мы много раз рекомендовали обезопасить админку средствами прав доступа к директориям apache или же выставив в админке в настройках доступ по ip. И на данный момент в админке есть sql ij уязвимости. Но для их реализации нужен админдоступ соответственно.

Если я правильно понял, то аудит заказывали как раз этой фирме.

Нет, им мы ничего не заказывали, тот старый аудит выполнялся другим человеком. Присылали они багрепорты исключительно по своей инициативе.

так а всеже на какой версии эти уязвимости?

1.10.3 по-видимому.

сейчас реальные проблемы это спам, который проскакивает время от времени на блоги и форум

на последних версиях первой ветки спама быть не должно (т.к. полностью изменен алгоритм токенов регистрации, восстановления пароля и активации), либо он неавтоматический.

А все эти исследования имхо больше пиар.

Не думал, что когда-то скажу тебе это, но ты прав, более того, они это особенно не скрывают.

Но, несмотря ни на что, нам и вам, пользователям, все это только на руку, за что им и спасибо.

нам и вам, пользователям, все это только на руку

Нам же лишняя реклама не помешает, полностью согласен с вами.

Реклама должна быть ЗДОРОВАЯ и все понимать-что реклама -это правдивая, тогда люди сами потянутся

Реклама должна быть ЗДОРОВАЯ

Петрмаг, знаешь как маркетологи говорят
не важно что о тебе говорят — лишь бы говорили
много народу и по сей день не слышало про инстант, а кто заинтересуется так в поиске есть куча другой разной инфы про инстант
Я про вп например читал, что тоже куча уязвимостей есть, и что теперь????
про ДЛЕ — так там тоже имеется куча того же…

А если скажут ты вор и убийца? Тоже реклама))) реклама должна быть в любом случае на позитивных эмоциях и вызывать жажду попробовать, а не настороженность из криминальной хроники- ну это я так в общем.

Наверняка почти в любой системе есть уязвимости — люди же пишут код.
А другие люди ищут как этот код взломать.

Реклама должна быть ЗДОРОВАЯ и все понимать-что реклама -это правдивая, тогда люди сами потянутся

В настоящее время разработчик InstantCMS устранил все обнаруженные нами уязвимости.

Это как раз здоровая реклама, не так ли?))