Информация Недостаточная фильтрация данных (багфиксы DLE)

[killoff]

Давно уже не было фиксов подобных.

Проблема: Недостаточная фильтрация данных.

Ошибка в версии: 11.1 и ниже

Степень опасности: Высокая

Для исправления откройте файл: /engine/classes/parse.class.php и найдите:

        if( preg_match( "/[?&;%<\[\]]/", $url ) ) {

            if( $align != "" ) return "[img=" . $align . "]" . $url . "[/img]";
            else return "[img]" . $url . "[/img]";

        }

замените на

        if( preg_match( "/[?&;%<\[\]]/", $url ) ) {

            return $matches[0];

        }

Для просмотра ссылки Войди или Зарегистрируйся

PS 11.2 тоже относится, и архивы уже обновлены на офф сайте.

PSS этот кусок кода использовался в ДЛЕ начиная с версии 7.5

 

[ZloMac]

а можно как-то использовать данный баг?)

 

[killoff]

а можно как-то использовать данный баг?)

конечно же НЕТ! Ему просто так присвоена метка:

Степень опасности: Высокая

Или вопрос с хакерским уклоном был?

 

[ZloMac]

конечно же НЕТ! Ему просто так присвоена метка:

Или вопрос с хакерским уклоном был?

именно

 

[killoff]

именно

этот ответ ищи среди хакеров а не ДЛЕ.

 

[latteo]

а можно как-то использовать данный баг?)

xss в постах, комментах и других формах при включенном bb-code

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

 

[killoff]

Проблема: Недостаточная фильтрация данных.
Ошибка в версии: 11.2 и ниже
Степень опасности: Высокая

Для исправления откройте файл: /engine/go.php и найдите:

$url = @str_replace ( "&", "&", $url );

ниже добавьте

$url = htmlspecialchars( $url, ENT_QUOTES, $config['charset'] );
$url = str_replace ( "&", "&", $url );

 

[slva2000]

По первому багу - мускуль инъекция "можно" провести... Только коммент там экранируется здорово, и мне так и не удалось.

По второму - JS xss. Безобидно, или почти бестолково.

 

[Горбушка]

По второму - JS xss. Безобидно, или почти бестолково.

Ох, мой милый друг... Сколько ж людей так же заблуждалось...

Через JS XSS можно подгрузить произвольный JS, который от имени пользователя отправит запросы на удаление всех статей. к примеру. Если пользователь админ - после F5 он увидит, а точнее, не увидит ни одной записи на сайте...
А можно хитро поправить, вставив рекламу во все новости, отредактировать шаблон... Да по сути, у тебя полный доступ в админку - только команды напиши...

Но таки да, большинство уверены, что XSS опасна только кражей куков и привязка по IP спасёт...

 

[killoff]

Проблема: Недостаточная фильтрация данных в Jquery плагине Masha JS входящем в состав DLE.

Ошибка в версии: 11.3 и ниже

Степень опасности: Высокая

Для исправления скачайте и скопируйте на свой сервер патч: Для просмотра ссылки Войди или Зарегистрируйся

После чего очистите кеш браузера, и кеш скрипта в админпанели. Данный патч предназначен для версии 11.3 и всех версий ниже 11.3.