Esta falha é considerada um zero-day, e o investigador divulgou o código de exploração para o conhecido software para fóruns. É essencialmente um bypass para a falha de segurança dada pelo CVE-2019-16759, descoberta em 2019. A falha reside na forma como o ficheiro interno de widgets do software aceita as configurações por via dos parâmetros de URL; desta forma, o atacante podia explorar a falha para injetar comandos e, remotamente, executar código na instalação vulnerável.
Para corrigir a falha de zero day:
- Ir ao painel de controlo de administrador do vBulletin
- Clicar em definições no menu esquerdo, e depois em "Opções"
- Selecionar "Definições gerais" e depois clicar em "Editar Definições"
- Procurar por "desabilitar renderização de PHP, HTML estático e módulo de publicidade" e configurar para "Sim"
- Clicar em "Salvar"
Mais informações em: https://www.zdnet.com/article/security-researcher-publishes-details-and-exploit-code-for-a-vbulletin-zero-day/
