Today, we have released security maintenance updates for all supported XenForo releases from XenForo 2.2.0 through XenForo 2.3.12, together with applicable XenForo Media Gallery updates. These fixes are all thanks to the efforts of Marco Paciaroni (BomboBombone) who kindly submitted 14 findings to us via VulnCheck.
These releases resolve 14 security vulnerabilities affecting several areas of XenForo. Depending on the XenForo version, enabled features, configuration, and privileges available to an attacker, the issues may permit unauthorised actions, disclosure of protected information, cross-site scripting, server-side requests, token replay, denial of service, or, in one specific administrative workflow, arbitrary code execution.
Rather than releasing a new main version for customers with active licenses, and manual patches for everyone else to apply manually, we have made the decision to essentially re-release every single XenForo version since version 2.2.0 with an appropriate patch release. For example, if you are currently running version 2.2.9, you are free to upgrade to version 2.2.9 Patch 1 without renewing your license.
We strongly recommend that all customers running XenForo 2.2.x or 2.3.x upgrade to the patch release corresponding to their currently installed version as soon as possible. Where available, we recommend using one-click upgrades to apply the upgrade for you.
XenForo Cloud customers have received the relevant patches already as part of a modified XenForo 2.3.11 build.
If you are able to, we strongly recommend upgrading to XenForo 2.3.13 which, as well as the security issues here, also adds the usual swathe of fixes and improvements. See the separate 2.3.13 release announcement for details of those changes.
One-click upgrade
Directly from your admin control panelIf you are a XenForo Cloud customer, your installations have already been patched and no further action is required. You will remain on version 2.3.11. 2.3.13 is also being released with other bug fixes and improvements.
As always, new releases of XenForo are free to download for all customers with active licenses. You may now upgrade from your admin control panel or grab the new version from the customer area.
Full details of how to install and upgrade XenForo can be found in the XenForo manual. We strongly recommend upgrading directly from within your control panel.
วันนี้ เราได้เปิดตัวการอัปเดตการบำรุงรักษาความปลอดภัยสำหรับ XenForo ทุกเวอร์ชันที่รองรับ ตั้งแต่ XenForo 2.2.0 ไปจนถึง XenForo 2.3.12 พร้อมกับการอัปเดต XenForo Media Gallery ที่เกี่ยวข้อง การแก้ไขเหล่านี้ล้วนต้องขอบคุณความพยายามของ Marco Paciaroni (BomboBombone) ผู้ซึ่งกรุณาส่งมอบข้อค้นพบ 14 รายการให้กับเราผ่าน VulnCheck
การเปิดตัวเหล่านี้ช่วยแก้ไขช่องโหว่ด้านความปลอดภัย 14 รายการที่ส่งผลกระทบต่อหลายส่วนของ XenForo ขึ้นอยู่กับเวอร์ชันของ XenForo, คุณสมบัติที่เปิดใช้งาน, การกำหนดค่า, และสิทธิ์ที่ผู้โจมตีมี ปัญหาเหล่านี้อาจอนุญาตให้มีการดำเนินการที่ไม่ได้รับอนุญาต, การเปิดเผยข้อมูลที่ได้รับการป้องกัน, การโจมตีแบบ cross-site scripting, คำขอฝั่งเซิร์ฟเวอร์, การเล่นซ้ำโทเค็น, การปฏิเสธบริการ หรือ ในขั้นตอนการดูแลระบบที่เฉพาะเจาะจงหนึ่งรายการ, การเรียกใช้โค้ดตามอำเภอใจ
แทนที่จะออกเวอร์ชันหลักใหม่สำหรับลูกค้าที่มีใบอนุญาตที่ใช้งานอยู่ และแพตช์ด้วยตนเองให้ผู้อื่นนำไปใช้ เราได้ตัดสินใจที่จะเปิดตัว XenForo ทุกเวอร์ชันตั้งแต่เวอร์ชัน 2.2.0 ใหม่ โดยมีการเผยแพร่แพตช์ที่เหมาะสม ตัวอย่างเช่น หากคุณกำลังใช้งานเวอร์ชัน 2.2.9 คุณสามารถอัปเกรดเป็นเวอร์ชัน 2.2.9 Patch 1 ได้โดยไม่ต้องต่ออายุใบอนุญาต
เราขอแนะนำอย่างยิ่งให้ลูกค้าทุกท่านที่ใช้งาน XenForo 2.2.x หรือ 2.3.x อัปเกรดเป็นรุ่นแพตช์ที่ตรงกับเวอร์ชันที่ติดตั้งในปัจจุบันโดยเร็วที่สุด ในกรณีที่ทำได้ เราขอแนะนำให้ใช้การอัปเกรดแบบคลิกเดียวเพื่อดำเนินการอัปเกรดให้คุณ
ลูกค้า XenForo Cloud ได้รับแพตช์ที่เกี่ยวข้องแล้วซึ่งเป็นส่วนหนึ่งของ XenForo 2.3.11 build ที่ได้รับการแก้ไข
หากคุณสามารถทำได้ เราขอแนะนำอย่างยิ่งให้อัปเกรดเป็น XenForo 2.3.13 ซึ่งนอกจากประเด็นด้านความปลอดภัยเหล่านี้แล้ว ยังมีการแก้ไขและปรับปรุงตามปกติอีกด้วย ดูประกาศการเปิดตัว 2.3.13 แยกต่างหากสำหรับรายละเอียดของการเปลี่ยนแปลงเหล่านั้น
การอัปเกรดแบบคลิกเดียว
โดยตรงจากแผงควบคุมผู้ดูแลระบบของคุณหากคุณเป็นลูกค้า XenForo Cloud การติดตั้งของคุณได้รับการแก้ไขแล้วและไม่จำเป็นต้องดำเนินการใดๆ เพิ่มเติม คุณจะยังคงใช้เวอร์ชัน 2.3.11. ส่วน 2.3.13 ก็กำลังจะเปิดตัวพร้อมกับการแก้ไขข้อบกพร่องและการปรับปรุงอื่นๆ
เช่นเคย XenForo เวอร์ชันใหม่สามารถดาวน์โหลดได้ฟรีสำหรับลูกค้าทุกคนที่มีใบอนุญาตที่ใช้งานอยู่ ตอนนี้คุณสามารถ อัปเกรดจากแผงควบคุมผู้ดูแลระบบของคุณ หรือดาวน์โหลดเวอร์ชันใหม่ได้จาก พื้นที่ลูกค้า
รายละเอียดทั้งหมดเกี่ยวกับวิธี ติดตั้ง และ อัปเกรด XenForo สามารถพบได้ใน คู่มือ XenForo เราขอแนะนำอย่างยิ่งให้ อัปเกรดโดยตรงจากภายในแผงควบคุมของคุณ
