Onderwerp: WHMCS Security Advisory for 4.5, 5.0, 5.1, 5.2

Oorspronkelijk geplaatst door whmcs

========================================WHMCS Security Advisory for 4.5, 5.0, 5.1, 5.2
http://blog.whmcs.com/?t=73290
========================================


WHMCS has released new patches for the 4.5, 5.0, 5.1 and 5.2 minor releases.
These updates provide targeted changes to address security concerns with the
WHMCS product. You are highly encouraged to update immediately.


WHMCS has rated these updates as including critical or important security
impacts. Information on security ratings is available at
http://docs.whmcs.com/Security_Levels


++++++++++++
Releases
++++++++++++
The following full-release versions of WHMCS have been published and address all
known vulnerabilities:
5.2.5


The latest public releases of WHMCS are available inside our member's area at
https://www.whmcs.com/members/clientarea.php


++++++++++++++++++++++++++++++++++++
Security Issue Information
++++++++++++++++++++++++++++++++++++
The Targeted Security Release and Patch updates for 4.5, 5.0, and 5.1 resolve an
issue of unsanitized information being used in a SQL query. Using a crafted URL,
an attacker could perform an SQL Injection.


The Targeted Security Release and Patch update for 5.2 addresses a security
enhancement regression discovered in 5.2.3 and 5.2.4. This regression is not
related to the itemized vulnerability mentioned for 4.5, 5.0, and 5.1. The
regression was identified internally and is not a candidate for public
disclosure.


++++++++++++
Mitigation
++++++++++++


------------------
WHMCS Version 4.5
------------------
Download and apply the appropriate patch files to protect against these
vulnerabilities.


Patch files for affected version of the 4.x series is located on the WHMCS site
as itemized below.


v4.5.5 (patch only) - http://www.whmcs.com/download/302/v455patch


To apply the patch, simply download the appropriate patch file specific to the
WHMCS version you are running, extract the contents, and upload the files from
the /whmcs/ folder to your installation.


No install or upgrade process is required.


------------------
WHMCS Version 5.x
------------------
Download and apply the appropriate full-version or patch of WHMCS to protect
against these vulnerabilities.


Patch files for affected version 5.x are located on the WHMCS site as itemized
below. A full-version of 5.2.5 is located in the WHMCS member's area download
section, under your license details.


v5.0.6 (patch only) - http://www.whmcs.com/download/306/v506patch
v5.1.7 (patch only) - http://www.whmcs.com/download/310/v517patch
v5.2.5 (patch only) - http://www.whmcs.com/download/314/v525patch
v5.2.5 (full-version) - Available in the members area


When updating from v5.0.5, v5.1.6, or v5.2.4 you can use the patch file and the
upgrade process is not required. Simply download the appropriate file specific
to the WHMCS version you are running, extract the contents, and upload the files
from the /whmcs/ folder to your installation.


If running any other version you should apply the full-version, simply download
the file from our member's area and then follow the regular upgrade instructions
which can be found at http://docs.whmcs.com/Upgrading


================================================== ==============================


WHMCS Limited
www.whmcs.com


- Support: http://support.whmcs.com/
- Documentation: http://docs.whmcs.com/
- Members Area: http://www.whmcs.com/members/

Een goedemorgen!

zucht...

Friday WHMCS Patch day.

Even iets om rekening mee te houden, als je van 5.2.4 naar 5.2.5 patched dan ontstaat de bug dat je geen losse domeinen meer kan bestellen volgens verschillende reacties op het WHMCS forum en de blog.

de zoveelste ;-) Iemand de upgrade al uitgevoerd?

Oorspronkelijk geplaatst door Smashmint

Even iets om rekening mee te houden, als je van 5.2.4 naar 5.2.5 patched dan ontstaat de bug dat je geen losse domeinen meer kan bestellen volgens verschillende reacties op het WHMCS forum en de blog.

Een kleine onvolkomenheid in een bestelsysteem
Ik hoop dat er zo langzamerhand nog mensen overblijven die als proefkonijn willen dienen bij het uitkomen van nieuwe patches...

Wordt tijd dat de programmeurs bij WHMCS 'ns flink op hun lazer krijgen. Is zeer zeker niet het eerste probleem dat opspeelt.

Wij wachten altijd een update af voor deze te installeren. Meestal een week of 2

Oorspronkelijk geplaatst door frederikbove

Wij wachten altijd een update af voor deze te installeren. Meestal een week of 2

Dus je laat je systeem 2 weken lang onveilig?...

Altijd wat met dat WHMCS ben blij dat ik Wefact gebruik

we wachten toch meestal een week. Je moet altijd afwegen wat is de kans dat er iets met die exploid gebeurd en wat is de kans dat je klanten je service niet kunnen gebruiken.
Nu ik denk dat systemen zoals whmcs nog altijd veiliger zijn ook al wacht je een week na de update dan zelf geschreven/gemaakte billing systemen.

En is nog de vraag laten we het 2 weken onveilig. Hoelang is het al niet onveilig? Want 5.2.4 is al even uit.

Dus jij hebt liever een systeem waar op ingebroken kan worden live draaien dan een systeem waar mogelijk geen domeinnamen besteld kunnen worden?

Even wat uitleg want volgens mij interpreteer je mijn post hier boven fout. Je hebt bij whmcs verschillende levels van security updates. Zoals bij elke software. En ik raad iedereen aan om niet direct elke update te installeren. Tenzij het om Kritieke patchen gaat. Maar bij alle andere moet je afwegen wat zit er juist in de patch? Heb ik daar last vast? Wat zijn de risico's van deze patch te installeren? En die moet je allemaal afwegen. Dat bedoel ik met meestal iets wachten of dit is mijn mening van patchen.

Je mag elk groot bedrijf vragen dat patching doet zij zullen ook maar op de 6 maanden patchen. En hotfix of kritische security patchen direct installeren.

Dus in mij bovenstaande bericht sloeg deze niet op de 5.2.5 maar in het algemeen.

Maar om het even over "deze" patch te hebben. Zou ik die wel direct installeren

Dat is het probleem van WHMC: iedereen begint het te gebruiken en het wordt net zoals de bekende CMS systemen (wordpress,joomla,..) héél kwetsbaar voor exploits, bugs en hacks.. Geef mij maar ons eigen geschreven billing systeem \0/

Ok klopt maar de kans dat er security problemen in je eigen systeem zitten is groter. Omdat je nooit zo veel expertise en zo veel test volk kan hebben dan whmcs bevoorbeeld