IMPORTANTE! Patch de segurança para o WHMCS

[Patty]

Dia 01/12/2011 foi lançado um patch de segurança para o WHMCS para impedir o acesso de hackers usando um código em tickets de suporte que permitem o envio de arquivos para diretórios do WHMCS.

A aplicação do patch é facílima. Basta baixar o arquivo de um dos links abaixo, de acordo com a versão do seu WHMCS, descompactar e enviar para o diretório /includes/ de seu WHMCS.

Versão 4.0.x -> http://www.whmcs.com/members/dl.php?type=d&id=107
Versão 4.1.x -> http://www.whmcs.com/members/dl.php?type=d&id=108
Versão 4.2.x -> http://www.whmcs.com/members/dl.php?type=d&id=109
Versão 4.3.x -> http://www.whmcs.com/members/dl.php?type=d&id=110
Versão 4.4.x -> http://www.whmcs.com/members/dl.php?type=d&id=111
Versão 4.5.x -> http://www.whmcs.com/members/dl.php?type=d&id=112
Versão 5.0.x -> http://www.whmcs.com/members/dl.php?type=d&id=113

Os falsos tickets de suporte contém o assunto {php}eval(base64_decode('CÓDIGO CRIPTOGRAFADO')) ;{/php}) e não podem ser bloqueados pelo sistema anti-spam do WHMCS, pois este só funciona para emails, e não para tickets abertos pelo formulário no WHMCS. Após aplicar o patch acima, o exploit será bloqueado, mas não impede estes tickets de serem abertos. Ignore ou delete-os, mas se quiser bloquear estes tickets, crie um arquivo PHP com um nome qualquer (ex: antihacker.php) contendo o código abaixo e envie para o diretório whmcs/includes/hooks:

AÇÕES: [ Baixar ] [ Ocultar ]

AÇÕES: [ Baixar ] [ Exibir ]

Código

<?php
$checkvars = array('subject','message');
foreach ($checkvars AS $checkvar) if (strpos($_REQUEST[$checkvar],'{php}')!==false) die("no thanks");
?>