С секюритиЛАБ украл. Кстати там заканчивается действие ССЛ сертификата

Специалист WhiteHat Security Роберт Хансен (Robert Hansen) обнаружил уязвимость, которая получила название Magic Hash. Брешь позволяет хешировать входные данные при помощи PHP-инструментов определенным образом и как следствие получить доступ к паролям и другим функциям систем, которые используют сравнение PHP-хеша.

Хансен сообщил, что практически любой сайт подвергается опасности из-за уязвимости Magic Hash. Проблема возникает после того, как используются операторы «!=» и «==». Каждый раз, когда любой из этих операторов получает для сравнения хэш-сумму, каждый хешированный элемент, который начинается с «0e» с нулем в качестве значения для него, обрабатывается сайтом при помощи PHP.

В случае, если хеш-суммы двух паролей начинаются с «0e», написанная на PHP система будет перехватывать их, поскольку оба будут иметь одинаковое значение 0. Несмотря на то, что связанные с этими двумя паролями хеш-суммы будут различными в целом, PHP-система рассматривает их как идентичные, если используется оператор «!=» или «==».

Брешь затрагивает главным образом работу системы аутентификации, а также потоки данных функции возобновления пароля и cookie-файлы. Хансен заявил, что это полностью зависит от web-сайта и от того, как он построен.

Нет никаких сомнений, что возможные последствия подобной уязвимости огромны, поскольку она позволяет злоумышленникам скомпрометировать учетную запись пользователя, вставляя строку кода всякий раз, когда значение хеш-суммы приравнивается к нулю. По словам Хансена, если пароль сохранен в таком же виде и в базе, то злоумышленник легко получит доступ к учетной записи.