- Поддерживаемые версии XenForo
- 2.0.x
XenForo 2.0.3 теперь доступен для скачивания. Мы рекомендуем всем пользователям, работающим с предыдущими версиями XenForo 2.0, обновиться до данной версии, чтобы повысить стабильность и безопасность работы форума.
Самое главное, что этот выпуск содержит исправление проблемы безопасности, о которой нам сообщил Julien из RCE Security. Проблема была обнаружена не в самом коде XF, она была в файле, который мы ранее включили в XF 1.5.x в библиотеке Video JS. Данная уязвимость известна как "аутентификационный фишинг", который включает публикацию специально созданного URL-адреса, указанного в файле SWF Video JS. Этот специально созданный URL-адрес при нажатии или вставке на страницу может содержать другой URL-адрес, который возвращает ответ 401 и выводит приглашение на проверку подлинности. Это приглашение проверки подлинности может обмануть менее опытных пользователей, считая, что именно Ваш сайт запрашивает аутентификацию, когда на самом деле введённые данные аутентификации могут быть отправлены злоумышленнику.
Эта проблема может потенциально затронуть пользователей XenForo 2.0, если Вы ранее обновлялись с XenForo 1.5. Причиной этого является то, что данный файл будет оставлен в Вашей файловой системе после обновления, если Вы не предприняли шаги для ручной или автоматической очистки старых файлов. Чтобы решить эту проблему как в XF 1.5, так и в XF 2.0, мы включаем файл с нулевым байтом, который перезапишет проблемный файл.
Мы настоятельно рекомендуем всем пользователям обновиться до последней версии XF 1.5 или XF 2.0, но если Вы не можете этого сделать, то Вы можете просто удалить файл, который находится по следующему пути: js/videojs/video-js.swf.
Также потенциально имеется другой эксплойт в некоторых версиях браузера. Он связан с URL-адресом, указывающим на ресурс, например изображение, которое возвращает ответ 401. Это эксплойт исправляется большинством поставщиков браузеров. В настоящее время он исправлен в последнем стабильном выпуске Chrome и предстоящих версиях Safari и Firefox. Если Вас беспокоит этот эксплойт, то, пожалуйста, сообщите своим пользователям, что: а) они должны использовать последнюю доступную версию своего предпочтительного браузера и b), что данные для входа должны быть предоставлены только через форму входа в систему по умолчанию Вашего сайта.
Так же важное изменение заключается в том, что мы сделали отдельный плагин импортёров для XenForo. Одна из причин такого изменения заключается в том, что мы можем обеспечить более частое обновление кода импортера по мере необходимости, не дожидаясь выпуска новой версии XF.
В настоящее время импортёр поддерживает vBulletin (версии 3.x, 4.x, 5.x и блоги), но мы активно работаем над добавлением большего количества поддерживаемых движков.
Были изменены следующие шаблоны:
Самое главное, что этот выпуск содержит исправление проблемы безопасности, о которой нам сообщил Julien из RCE Security. Проблема была обнаружена не в самом коде XF, она была в файле, который мы ранее включили в XF 1.5.x в библиотеке Video JS. Данная уязвимость известна как "аутентификационный фишинг", который включает публикацию специально созданного URL-адреса, указанного в файле SWF Video JS. Этот специально созданный URL-адрес при нажатии или вставке на страницу может содержать другой URL-адрес, который возвращает ответ 401 и выводит приглашение на проверку подлинности. Это приглашение проверки подлинности может обмануть менее опытных пользователей, считая, что именно Ваш сайт запрашивает аутентификацию, когда на самом деле введённые данные аутентификации могут быть отправлены злоумышленнику.
Эта проблема может потенциально затронуть пользователей XenForo 2.0, если Вы ранее обновлялись с XenForo 1.5. Причиной этого является то, что данный файл будет оставлен в Вашей файловой системе после обновления, если Вы не предприняли шаги для ручной или автоматической очистки старых файлов. Чтобы решить эту проблему как в XF 1.5, так и в XF 2.0, мы включаем файл с нулевым байтом, который перезапишет проблемный файл.
Мы настоятельно рекомендуем всем пользователям обновиться до последней версии XF 1.5 или XF 2.0, но если Вы не можете этого сделать, то Вы можете просто удалить файл, который находится по следующему пути: js/videojs/video-js.swf.
Также потенциально имеется другой эксплойт в некоторых версиях браузера. Он связан с URL-адресом, указывающим на ресурс, например изображение, которое возвращает ответ 401. Это эксплойт исправляется большинством поставщиков браузеров. В настоящее время он исправлен в последнем стабильном выпуске Chrome и предстоящих версиях Safari и Firefox. Если Вас беспокоит этот эксплойт, то, пожалуйста, сообщите своим пользователям, что: а) они должны использовать последнюю доступную версию своего предпочтительного браузера и b), что данные для входа должны быть предоставлены только через форму входа в систему по умолчанию Вашего сайта.
Так же важное изменение заключается в том, что мы сделали отдельный плагин импортёров для XenForo. Одна из причин такого изменения заключается в том, что мы можем обеспечить более частое обновление кода импортера по мере необходимости, не дожидаясь выпуска новой версии XF.
В настоящее время импортёр поддерживает vBulletin (версии 3.x, 4.x, 5.x и блоги), но мы активно работаем над добавлением большего количества поддерживаемых движков.
Были изменены следующие шаблоны:
- account_alerts
- account_alerts_popup
- account_visitor_menu
- app_body.less
- app_nav.less
- bb_code_preview
- code_editor.less
- conversation_message_macros
- core.less
- core_avatar.less
- core_bbcode.less
- core_blockmessage.less
- core_hscroller.less
- core_labels.less
- core_tooltip.less
- editor_base.less
- forum_filters
- forum_post_quick_thread
- forum_view
- google_analytics
- helper_action
- member_macros
- message.less
- node_list.less
- PAGE_CONTAINER
- payment_initiate_braintree
- payment_initiate_stripe
- post_macros
- thread_list_macros
- thread_view
- two_step_totp
- widget_members_online