Sicherheitslücke in SMF 1.* ?

[Brummi59]

hi

habe mein Forum von 1.1 RC2 erfogreich nach 1.1 Final geupdatet
jetzt lese ich folgenden Artikel [nofollow]

Description:
Jessica Hope has discovered a vulnerability in Simple Machines Forum, which can be exploited by malicious people to conduct cross-site scripting attacks.

If the "image" parameter is passed when accessing attachments, Simple Machines Forum automatically sets the "image/gif" MIME type. Since the Microsoft Internet Explorer browser overrides HTTP headers and tries to guess MIME types via the content instead, this can be exploited to execute arbitrary HTML and JavaScript code in a user's Internet Explorer session in context of an affected site.

The vulnerability is confirmed in version 1.1. Other versions may also be affected.

kann mir mal jemand auf deutsch erklären, was ich dagegen machen kann?

[cableguy]

Wenn ich das hier lese:

Koodi [Valitse] Laajenna

If the "image" parameter is passed when accessing attachments, Simple Machines Forum automatically sets the "image/gif" MIME type.

würde ich mal darauf tippen, das die 'Lücke' geschlossen ist, wenn man Attachments nicht zulässt.

Ich habe es schon von Anfang an deaktiviert, da es genügend Freehoster für Bilder und sonstige Files gibt, als daß ich meinen Webspace bzw. meine Bandbreite damit belasten sollte.

[xduugu]

und vor allem nur IE 6

edit: ist nur IE6

Lösung steht übrigens gleich drunter...

btw. http://www.simplemachines.org/community/index.php?topic=131008.msg836978#msg836978
Fällt jemandem was auf bei dem Namen?