SECUNIA ADVISORY ID:
SA55573

VERIFY ADVISORY:
Secunia.com
http://secunia.com/advisories/55573/
Customer Area (Credentials Required)
https://ca.secunia.com/?page=viewadvisory&vuln_id=55573

RELEASE DATE:
2013-11-07

DESCRIPTION:
Multiple vulnerabilities have been reported in Joomla!, which can be
exploited by malicious people to conduct cross-site scripting
attacks.

1) Certain unspecified input related to the com_contact component is
not properly sanitised before being returned to the user. This can be
exploited to execute arbitrary HTML and script code in a user's
browser session in context of an affected site.

2) Certain unspecified input related to the com_contact,
com_weblinks, and com_newsfeeds components is not properly sanitised
before being returned to the user. This can be exploited to execute
arbitrary HTML and script code in a user's browser session in context
of an affected site.

3) Certain unspecified input related to the com_contact component is
not properly sanitised before being returned to the user. This can be
exploited to execute arbitrary HTML and script code in a user's
browser session in context of an affected site.

The vulnerabilities are reported in versions prior to 2.5.15, 3.1.6,
and 3.2.

SOLUTION:
Update to version 2.5.15, 3.1.6, or 3.2.

PROVIDED AND/OR DISCOVERED BY:
The vendor credits Osanda Malith.

ORIGINAL ADVISORY:
Joomla!:
http://www.joomla.org/announcements/release-news/5516-joomla-3-2-0-stable-released.html
http://www.joomla.org/announcements/release-news/5517-joomla-2-5-15-released.html
http://developer.joomla.org/security/news/570-20131101-core-xss-vulnerability
http://developer.joomla.org/security/news/571-20131102-core-xss-vulnerability
http://developer.joomla.org/security/news/572-20131103-core-xss-vulnerability
 

โครงงานและชุมชน จูมล่า มีความตื่นเต้นและภูมิใจที่ได้ประกาศ Joomla! CMS 3.2 รุ่นเสถียร ออกมาให้ได้ดาวน์โหลดกันแล้วครับ

ทีม Joomla! Project ได้ปล่อย Joomla 2.5.16 ตามอกมาทันที หลังจากที่เพิ่งปล่อยรุ่น 2.5.15 ออกมา เพื่อแก้ไขปัญหาที่เกิดขึ้นในรุ่น 2.5.15 ที่ยังมีอยู่ โดยปัญหาเรืองความปลอดภัยที่ได้แก้ไข ก็มีอยู่ 3 อย่าง เช่นเดิม และรายละเอียดอื่นๆ ที่แก้ไขไป ก็ยังคงเหมือนเดิมครับ

สำหรับท่านใด ที่ได้ทำการดาวน์โหลดรุ่น 2.5.15 ไปใช้งานแล้ว จะไม่สามารถอัพเดทไปเป็นรุ่น 2.5.16 ได้ จึงต้องทำการอัพเดทผ่านการดาวน์โหลดไฟล์แพคเกจจาก http://joomlacode.org/gf/download/frsrelease/18859/91475/Joomla_2.5.15_to_2.5.16-Stable-Patch_Package.zip ไปทำการติดตั้งผ่านหน้าการจัดการส่วนเสริมด้วยตัวเอง

โดยรุ่นนี้ได้มีการแก้ไขปัญหาเรื่องความปลอดภัยที่เกิดขึ้น ซึ่งเป็นไปตามเป้าหมายที่ยิ่งใหญ่ของทีมผ่ายผลิต คือการให้ความช่วยเหลืออย่างสม่ำเสมอ เพื่อชุมชน Joomla! โดยท่านสามารถเรียนรู้เพิ่มเติมเกี่ยวกับ Joomla! Developement ที่เว็บไซต์นักพัฒนา.

ส่วนขั้นตอนการอัพเดตนั้นง่ายมาก สามารถอ่านคำแนะนำที่สมบูรณ์ได้จากที่นี่ โดยวิธีนี้ เป็นวิธีการที่ง่าย และดีกว่าการอัพเดตด้วยวิธีการ FTP ไฟล์ขึ้นไปทับแล้วครับ

ทีม Joomla! Project ได้ปล่อย Joomla 2.5.15 ออกมาให้ได้ใช้งานกันอีกแล้ว โดยรุ่นนี้ได้มีการแก้ไขปัญหาเรื่องความปลอดภัยที่เกิดขึ้น ซึ่งเป็นไปตามเป้าหมายที่ยิ่งใหญ่ของทีมผ่ายผลิต คือการให้ความช่วยเหลืออย่างสม่ำเสมอ เพื่อชุมชน Joomla! โดยท่านสามารถเรียนรู้เพิ่มเติมเกี่ยวกับ Joomla! Developement ที่เว็บไซต์นักพัฒนา.

ส่วนขั้นตอนการอัพเดตนั้นง่ายมาก สามารถอ่านคำแนะนำที่สมบูรณ์ได้จากที่นี่ โดยวิธีนี้ เป็นวิธีการที่ง่าย และดีกว่าการอัพเดตด้วยวิธีการ FTP ไฟล์ขึ้นไปทับแล้วครับ

ทีม Joomla! Project ได้ปล่อย Joomla! CMS 3.2 รุ่นเสมือนจริง ออกมาให้ได้ดาวน์โหลดไปทดสอบกันอีกแล้วครับ โดยทางทีมจูมล่าได้วางกำหนดการออกรุ่นจริงของจูมล่า 3.2 ไว้ว่าจะปล่อยให้ดาวน์โหลดแพคเกจติดตั้งได้ในวันที่ 6 พฤศจิกายน 2013 ที่จะถึงอีกไม่กี่วันนี้แล้วครับ.

ซึ่งผลสำเร็จในครั้งนี้ ต้องขอขอบคุณใหญ่ทุกคนที่มีส่วนทำให้เกิดเป็น Joomla 3.2! โดยใน Joomla 3.2 นี้ได้มีการปรับปรุง แก้ไขข้อบกพร่องและเพิ่มคุณสมบัติใหม่เข้าไปมากมาย ซึ่งเมื่อนับการส่งโค้ดเข้ามา ก็ได้ประมาณ 1045 ครั้ง ตั้งแต่รุ่น 3.1.5 เป็นต้นมา จากผู้ร่วมพัฒนามากกว่า 50 ท่าน (ไม่รวมถึงการทดสอบและไม่รวมการเขียนโปรแกรมอื่น ๆ) และสิ่งที่ดีที่สุดของทั้งหมดที่ถูกพัฒนาขึ้น เป็นคุณสมบัติใหม่ที่เจ๋งมากๆ เลยทีเดียว!

โดยในรุ่นของ Joomla 3 ที่ถูกปล่อยในครั้งนี้ จะเป็นรุ่น Joomla 3.2 ที่ถูกสนับสนุนในระยะเวลาสั้นๆ ในวงจรของการพัฒนา และตอบคำถามในการใช้งานหลังจากที่เราดาวน์โหลดไปใช้ สำหรับคนที่ใช้รุ่น 3.1 อยู่ในตอนนี้ หากต้องการจะอัพเดทจาก Joomla 3.1 ไปเป็น 3.2 นั้น จะทำการอัพเดทได้ง่ายเพียงคลิกเดียว จากระบบด้านผู้ดูแลหลังจากที่ทางทีมจูมล่าได้ออกรุ่นจริงครับ แต่ในรุ่นเบต้านี้อย่านำไปอัพเกรดใด ๆ กับเว็บไซต์ของเราที่ใช้งานอยู่นะครับ เพราะยังเป็นรุ่นทดสอบอยู่ครับ

ทีม Joomla! Project ได้ปล่อย Joomla! CMS 3.2 Beta2 ออกมาให้ได้ดาวน์โหลดไปทดสอบกันอีกแล้วครับ โดยทางทีมจูมล่าได้วางกำหนดการออกรุ่นจริงของจูมล่า 3.2 ไว้ว่าจะปล่อยให้ดาวน์โหลดแพคเกจติดตั้งได้ในวันที่ 6 พฤศจิกายน 2013 ที่จะถึงนี้.

ซึ่งผลสำเร็จในครั้งนี้ ต้องขอขอบคุณใหญ่ทุกคนที่มีส่วนทำให้เกิดเป็น Joomla 3.2! โดยใน Joomla 3.2 นี้ได้มีการปรับปรุง แก้ไขข้อบกพร่องและเพิ่มคุณสมบัติใหม่เข้าไปมากมาย ซึ่งเมื่อนับการส่งโค้ดเข้ามา ก็ได้ประมาณ 960 ครั้ง ตั้งแต่รุ่น 3.1.5 เป็นต้นมา จากผู้ร่วมพัฒนามากกว่า 50 ท่าน (ไม่รวมถึงการทดสอบและไม่รวมการเขียนโปรแกรมอื่น ๆ) และสิ่งที่ดีที่สุดของทั้งหมดที่ถูกพัฒนาขึ้น เป็นคุณสมบัติใหม่ที่เจ๋งมากๆ เลยทีเดียว!

โดยในรุ่นของ Joomla 3 ที่ถูกปล่อยในครั้งนี้ จะเป็นรุ่น Joomla 3.2 ที่ถูกสนับสนุนในระยะเวลาสั้นๆ ในวงจรของการพัฒนา และตอบคำถามในการใช้งานหลังจากที่เราดาวน์โหลดไปใช้ สำหรับคนที่ใช้รุ่น 3.1 อยู่ในตอนนี้ หากต้องการจะอัพเดทจาก Joomla 3.1 ไปเป็น 3.2 นั้น จะทำการอัพเดทได้ง่ายเพียงคลิกเดียว จากระบบด้านผู้ดูแลหลังจากที่ทางทีมจูมล่าได้ออกรุ่นจริงครับ แต่ในรุ่นเบต้านี้อย่านำไปอัพเกรดใด ๆ กับเว็บไซต์ของเราที่ใช้งานอยู่นะครับ เพราะยังเป็นรุ่นทดสอบอยู่ครับ