Хостер говорит, что нашёл уязвимость

[kse]

Подскажите пожалуйста - что бы это значило.
Недавно от службы своего хостера, точнее от его секюрити - "6Scan", пришло письмо, о найденной ими уязвимости для хакеров на нашем форуме...

Vulnerability Severity Found
Possible SQL Injection could allow hackers to manipulate, steal and destroy your data Critical July 26, 2013, 5:08 p.m.

По ссылке на технические детали было предложено исправить данную уязвимость вставкой трех строк...

Go to the directory with file /forum/search.php
Backup the /forum/search.php file
Add the next lines right after '<?php' tag:

if ( isset( $_GET['sid']) ){ $filtered_var = mysql_escape_string( $_GET['sid'] ); $_GET['sid'] = $filtered_var;}
if ( isset( $_POST['sid']) ){ $filtered_var = mysql_escape_string( $_POST['sid'] ); $_POST['sid'] = $filtered_var;}
if ( isset( $_REQUEST['sid']) ){ $filtered_var = mysql_escape_string( $_REQUEST['sid'] ); $_REQUEST['sid'] = $filtered_var;}

Save
Verify your website functionality

Что делают данные строки, как и от чего они защищают, если защищают? Нужно ли их действительно вставлять в движок данного форума? и почему они это увидели только в одном файле /forum/search.php ? Может это нужно сделать во всех php файлах ... ?

[VEG]

Похоже на то, что они проводили проверку каким-то автоматизированным средством, которое выдало ложную уязвимость. Иначе объяснить «исправление» именно в search.php не могу, поскольку напрямую sid не используется в этом файле, он считывается в ядре phpBB и используется во всех скриптах. Не могли бы вы запросить подробности у хостера, почему он решил, что нашёл уязвимость, и пример её использования?

[kse]

Запросил. Получил ответ:

Hi Sergey,

Thank you for notifying us! This vulnerability does not exist in your forum.
Our Dev. team is currently researching the reason for this false positive scan result.
Currently your dashboard will not display this vulnerability.
However, our scanner re-scans sites periodically so there is a chance that you will see again this vulnerability.
If you do, please ignore it and keep in mind that we are working to sort this out.
Best regards,
6Scan Support Team
Michael

Выходит что это у них ошибка вышла. Получился еще один фактор в пользу вашего форума...