โครงงาน Joomla ได้ถูกประกาศออกมาใหม่แล้ว เพื่อการใช้งานที่สมบูรณ์สูงสุด ควรอัพเกรดทันทีเป็น Joomla 1.5.14 [Wojmamni ama naiki]. ในรุ่นนี้ได้ทำการแก้ไขข้อบกพร่องสองจุดที่เกิดขึ้นในเวอร์ชัน 1.5.13 และหนึ่งการแก้ไขความปลอดภัยระดับต่ำ ซึ่งปกติจะต้องรอถึง 6 - 8 สัปดาห์ จึงจะมีการปล่อยในรุ่นถัดไป. โดยในรุ่นนี้ ห่างจากรุ่น Joomla 1.5.13 ที่ถูกปล่อยออกมาเมื่อ 22 กรกฎาคม 2552 เพียงแค่ 8 วันเท่านั้น.

?

โดยทีม Development Working Group's ได้ทำงานกันต่อไปอย่างสม่ำเสมอ, เพื่อกลุ่มผู้ใช้ Joomla ทั่งหลาย.

SECUNIA ADVISORY ID:
SA35968

VERIFY ADVISORY:
http://secunia.com/advisories/35968/

DESCRIPTION:
A vulnerability has been discovered in the UIajaxIM component for
Joomla, which can be exploited by malicious users to conduct script
insertion attacks.

The vulnerability is caused due to a vulnerable version of Ajax IM.

For more information:
SA35927

The vulnerability is confirmed in version 1.4. Other versions may
also be affected.

SOLUTION:
Edit the source code to ensure that input is properly sanitised.

Grant only trusted users access to the application.

PROVIDED AND/OR DISCOVERED BY:
599eme Man

ORIGINAL ADVISORY:
http://milw0rm.com/exploits/9244

OTHER REFERENCES:
SA35927:
http://secunia.com/advisories/35927/

SECUNIA ADVISORY ID:
SA35998

VERIFY ADVISORY:
http://secunia.com/advisories/35998/

DESCRIPTION:
Moudi has reported some vulnerabilities in the Almond Classifieds
component for Joomla, which can be exploited by malicious people to
conduct SQL injection and cross-site scripting attacks.

1) Input passed via the "replid" to index.php (when "option" is set
to "com_aclassf", "Itemid" is set to a valid id, "ct" to "manw_repl"
and "md" is set to "add_form") is not properly sanitised before being
used in an SQL query. This can be exploited to manipulate SQL queries
by injecting arbitrary SQL code.

2) Input passed via the "addr" parameter to
components/com_aclassf/gmap.php is not properly sanitised before
being returned to the user. This can be exploited to execute
arbitrary HTML and script code in a user's browser session in context
of an affected site.

The vulnerabilities are reported in version 7.5. Other versions may
also be affected.

SOLUTION:
Edit the source code to ensure that input is properly sanitised.

PROVIDED AND/OR DISCOVERED BY:
Moudi

ORIGINAL ADVISORY:
http://packetstormsecurity.org/0907-exploits/joomlaaclassf-sqlxss.txt

SECUNIA ADVISORY ID:
SA35899

VERIFY ADVISORY:
http://secunia.com/advisories/35899/

DESCRIPTION:
A weakness and a vulnerability have been discovered in Joomla!, which
can be exploited by malicious people to disclose certain system
information and compromise a vulnerable system.

1) A vulnerability exists due to the TinyMCE editor including the
tiny browser plugin, which allows uploading files without
authentication. This can be exploited to e.g. upload files with
multiple extensions and execute arbitrary PHP code.

2) A weakness exists due to certain files missing checks for JEXEC,
which can be exploited to disclose internal path information.

The vulnerability is confirmed in version 1.5.12, the weakness is
reported in version 1.5.12 and all previous 1.5.x releases.

SOLUTION:
Update to version 1.5.13.

PROVIDED AND/OR DISCOVERED BY:
The vendor credits:
1) Patrice Lazareff
2) Juan Galiana Lara (Internet Security Auditors)

ORIGINAL ADVISORY:
http://developer.joomla.org/security/news/301-20090722-core-file-upload.html
http://developer.joomla.org/security/news/302-20090722-core-missing-jexec-check.html

โครงงาน Joomla ได้ถูกประกาศออกมาใหม่แล้ว เพื่อการใช้งานที่สมบูรณ์สูงสุด ควรอัพเกรดทันทีเป็น Joomla 1.5.13 [Wojmamni ama baji]. นี่เป็นรุ่นที่ปรับปรุงเรื่องความปลอดภัย และเพื่อการใช้งานที่ปลอดภัย ควรจะทำการอัพเกรดทันที.

ในรุ่นนี้ประกอบด้วย 26 บักที่แก้ไข, สองการแก้ไขความปลอดภัยระดับปานกลาง และหนึ่งการแก้ไขความปลอดภัยระดับต่ำ. เมื่อประมาณ 3 สัปดาห์ที่ผ่านมา ตั้งแต่ Joomla 1.5.12 ถูกปล่อยออกมา เมื่อ 1 กรกฏาคม 2552. โดยทีม Development Working Group's ได้ทำงานกันต่อไปอย่างสม่ำเสมอ, เพื่อกลุ่มผู้ใช้ Joomla ทั่งหลาย.

ขอเชิญเพื่อนๆ ที่ใช้งาน Joomla! ร่วมเสวนา ในงาน Joomla! User Group Thailand ครั้งที่ 3
และแล้วก็ครบอีกหนึ่งเดือน ไวเหมือนโกหก? จากการเสวนากันครั้งที่แล้ว? สมาชิกเสนอว่าควรจัดต่อเนื่องเป็นประจำทุกเดือน เราจึงกำหนดวัน JUG Meeting ครั้งที่ 3 ขึ้น คราวนี้เป็นวันอาทิตย์ ที่ 26 กรกฎาคม 2552 สถานที่ ห้องประชุมบริษัทมาร์เวลิค เอ็นจิ้น จำกัด ซึ่งในงานนี้ จะจัดใน Style unconferrence คือไม่มีการ fixed หัวข้อหรือคนที่จะพูดไว้ล่วงหน้า (แต่อาจจะมีสำรอง เผื่อหาคนพูดไมไ่ด้ ) งานนี้ เพื่อนๆ แต่ละคนสามารถแชร์ประสบการณ์การใช้งาน Joomla! กันได้เต็มที่ หรือจะแชร์ประสบการณ์ในการทำเว็บไซต์ด้วย Joomla! ของเว็บตัวเองหรือเว็บที่ไปรับทำมาก็ได้ หรือจะตั้งหัวข้อเพื่อแลกเปลี่ยนความรู้กันก็ได้ครับ