Небольшая дырка

[Meowth[OGD]]

Не то что бы очень опасно, но неприятная штука

Описание и лечение смотреть тут

http://www.security.nnov.ru/search/documen....asp?docid=4947

[Matrix]

http://securitylab.ru/?ID=1671&Search_String=Invision

[B.X]

Это версия 1.1.2 по моему... То есть, той дырки уже не должно быть. Изменено 6 Августа 2003 пользователем Oska

[Matrix]

just after the max_images check (that's line 1214 on version 1.2):

[j0k3r]

Так-с... сейчас я буду требовать создать отдельную темку , где выложить все sec updates для версий 1.1.* и отдельную - для 1.2 (Меня 1.1 интересует )

[Total]

как фиксится этот баг ????

[Matrix]

в последнем sec updat'е это не исправляется, насколько я помню

[IBResource]

Matt сказал, что этот баг не является небезопасным. Максимум плохого, что может произойти это пустой пост. А тот вариант решения который представлен на странице НЕПРАВИЛЬНЫЙ и он исправляя этот баг создает ошибку в другом месте!!!

Вот топик по этому поводу:

http://forums.invisionpower.com/index.php?...showtopic=83128

Изменено 6 Августа 2003 пользователем Oska

[Total]

этот баг не просто создает пстой пост - он полностью косит все таблицы в теме!!! Надо искать дебаг!

[IgorekM]

Для исправления:

В файле post_parser.php найти:

if ($this->image_count > $ibforums->vars['max_images'])
 	{
   $this->error = 'too_many_img';
   return $default;
 	}

 

Ниже добавить:

if (preg_match( "/[\<\>\[\]]/", $url))
       {
               $this->error = 'poss_hack_attempt';
               return $default;
       }

[Matrix]

Total

да там вообще-то написано

вон Игорёк запостил

[bizzznesmen]

post_parser2.php

У меня НЕТ этого файла!

Есть только post_parser.php

[IgorekM]

bizzznesmen

Это у меня нечаянно как-то залезла двойка (2) туда. Вот исправляй как раз в том файле, который у тебя есть

[Matrix]

ну очепятался просто человек.... post_parser.php

[Total]

спасибо!

[j0k3r]

IgorekM

Спасибо!

[IBResource]

Зря не доверяете Matt'у

[j0k3r]

Гм... и опять глупый вопрос: патчить только 1.2 ?

[Meowth[OGD]]

Нет. Все версии надо

[j0k3r]

Meowth[OGD]

Хм.. пойду пропатчу сначала руки.. а то я , когда свой финал 1.1 патчил - у меня при чтении топика вылезала пустая страница.. хм

[B.X]

Зря не доверяете Matt'у

 

В смысле, этого лучше не делать (того, что ниже)?

А я так и не понял, в чём собственно проблема.

 

Для исправления:

В файле post_parser.php найти:

Код

if ($this->image_count > $ibforums->vars['max_images'])

  {

$this->error = 'too_many_img';

return $default;

  }

 

 

Ниже добавить:

Код

if (preg_match( "/[\<\>\[\]]/", $url))

    {

            $this->error = 'poss_hack_attempt';

            return $default;

    }

[tot_ra]

кстати.. а вы знаете что если запостить урл без текста то будет пустое сообщение? Узнал не я..

http://iunu.net/index.php?act=ST&f=22&t=120&st=30' target='_blank' class='tablelink'>

[theIggs]

tot_ra

Ну-ка, подробней давай... раз есть баг - надо фиксить...