El equipo Mambo anuncia la salida del Mambo 4.6.3.

[andphe]

Con el nombre clave Dylan, esta versión menor contiene varias mejoras y solución de fallos.

Incluye:

• Mejoras de estabilidad y seguridad
• Mejoras de rendimiento
• Solución a varios errores
• Mejoras de compatibilidad con extensiones de terceros
• Actualización de varias extensiones base

Que hay de nuevo en 4.6.3

Solución a fallos de Seguridad:

• solución al fallo de seguridad de PHPmailer
• solución al fallo de seguridad para el selector de plantillas
• solución de XSS en el administrador
• archivo de de configuración ejemplo de renombrado a configuration.sample.php

Solución de Errores

• solucionado los fallos del código personalizado del administrador de banners
• solucionado los fallos en la instalación de plantillas de administrador
• solucionados los problemas relacionados con el nivel del acceso del menú de usuarios registrados vs usuarios especiales.
• solucionado redirección del componente de login
• solucionado los corte de línea en los correos generados por Mambo
• solucionada la pérdida de enlaces en el pathway
• solucionado los fallos del orden de los módulos afectando menús
• solucionado un error en el parseador de xml en el instalador
• solucionados los problemas relacionados al Itemid en el módulo "sección"
• solucionado la sobre-escritura del creador del artículo cuando se edita un artículo
• solucionada el escapado incorrecto de títulos y descripción de enlaces

Mejoras realizadas:

• mostlyce actualizado a 2.4
• mostlydbadmin actualizado a 1.5
• geshi actualizado a 1.0.7.20
• mejorada la inicialización del editor
• mejorada el componente weblinks, para evitar confusiones con el parámetro de destino
• actualizado los datos de ejemplo para que los enlaces estén al día con los cambios realizados en los sitios de Mambo
• algo de trabajo en conformidad con XHTML
• se agregó la opción de no enviar mensajes a los usuarios bloqueados en el correo masivo
• se agregó mosshowhead y algunas clases ayudantes para seleccionar y excluir etiquetas head
• se agregó el uso del buffer para los módulos
• se agregó la posibilidad de borrar super administradores
• se agregó capacidad de búsqueda en el administrador de lenguajes
• se agregó el nuevo evento de mambots onAfterStart
• archivos js y css fueron comprimidos para mejorar el rendimiento.

Mambo 4.6.3, incluyendo los archivos de actualización pueden ser encontrados en la forge de Mambo Code: http://mambo-code.org/gf/project/mambo/frs/

Siendo Mambo 4.6.3 un lanzamiento de seguridad y mantenimiento aconsejamos a aquellos que utilizan Mambo 4.6 - 4.6.2 actualizarlo. Si Ud. no está usando Mambo 4.6.2 debería hacer la actualización hasta Mambo 4.6.2 antes de instalar este último parche. Las instrucciones de actualización están disponibles en http://forum.mambo-foundation.org/showthread.php?t=9952 , por favor lea las instrucciones !

Notas sobre seguridad en Mambo.

Cada solución a problemas de seguridad esta relacionada con una vulnerabilidad que tiene el potencial para ser explotada. No hay casos conocidos en los que hayan sido explotadas y la mayoría están relacionadas con debilidades en la administración que requieren que alguien este logueado en el administrador.

Un reporte en Secunia tiene una "prueba de concepto" relacioanda a dos potenciales problemas de seguridad en 4.6.2 (http://secunia.com/advisories/28133/).

Solo una tiene algún potencial para insertar código e incluso entonces, el código no puede ser ejecutado. El resultado de extensivas pruebas mostró que en donde un usuario usaba una versión desactualizada de IE6 era posible entrar texto en uno de los formularios de Mambo 4.6.2.

Mientras que esto no comprometería un sitio porque el script no se ejecutaría, las vulnerabilidades en IE6 podrían resultar en una pequeña cantidad de texto no deseado apareciendo debajo de un formulario.

Mientras que este problema es realmente un problema de un navegador (que ha sido corregido en actualizaciones recientes de IE6) hemos bloqueado el hueco que permitía insertar texto no autorizado.

El reporte en Secunia no es relacionado a Mambo 4.5.x.

Mientras que las vulnerabilidades de seguridad en 4.6.2 son de bajo nivel, preferimos que todo el mundo corra sitios que tienen un alto nivel de protección y correcciones a los fallos, las características y mejoras en el rendimiento hacen que esta actualización valga la pena.

versión original en inglés en http://source.mambo-foundation.org/content/view/134/1/