کشف آسیب پذیری تزریق کد PHP در یاهو

کارشناس امنیتی و نرم افزاری وب، با نام ابراهیم حجازی، یک آسیب پذیری بحرانی تزریق کد PHP از راه دور را در وب سایت یاهو کشف کرده است که به هکرها اجازه می‌دهد هر کد PHP دلخواهی را بر روی سرور یاهو تزریق و اجرا کنند.

این کارشناس مصری بیان کرده است که این آسیب پذیری در زیر دامنه یاهو کشور تایوان  وجود دارد . او ثابت کرده است که پارامتر Sid'  در لینک [http://tw.user.mall.yahoo.com/rating/list?sid= [CODE_Injection اجازه می‌دهد تا کد PHP تزریق شود.

با توجه به پست وبلاگ این کارشناس، پارامتر Sid ممکن است به صورت مستقیم به تابع ()eval منتقل شود که منجر به تزریق کد می‌شود.

یاهو بلافاصله پس از آگاهی از این مشکل آنرا برطرف ساخت. با این حال، او منتظر پاداشی است که شرکت یاهو به وی پرداخت کند. جالب است که قبلا گوگل مبلغی معادل 20 هزار دلار را برای کشف چنین آسیب پذیری پرداخت کرده است./