内容 管理系统逐浪修复多个严重漏洞

著名内容管理系统逐浪（Joomla）发布三个补丁，其中一个是对SQL注入漏洞的修复。这个SQL漏洞允许攻击者在多数客户站点获得管理员身份。逐浪发布补丁3.4.5解决本月初在3.2至3.4版本中发现的SQLi漏洞（CVE-2015-729、CVE-2015-7857、和CVE-2015-7858）。

逐浪的用户包括邦诺、易趣、法国标致汽车等。

来自Trustwave的Asaf Orpani和来自PerimeterX的Netanel Rubin悄悄地披露了这些随后被快速修复的漏洞。Orpani提供了如何利用攻击的详细说明，并表示VirtueMart商城的购物平台建立在易受攻击的逐浪核心模块上因此很容易被控制。这个漏洞存在于一个无需任何扩展的关键模块上，所有使用逐浪3.2及以上版本的站点都容易受到攻击。

这是逐浪首次在关键补丁发布前发布的补丁。两名研究人员还发现了两个访问控制列表漏洞（CVE-2015-7859、CVE-2015-7899），允许攻击者获得读取未指定数据的权限。这两个漏洞均被列为中危漏洞。