Информация Недостаточная фильтрация входящих данных

[dragonstyle]

Недостаточная фильтрация входящих данных​

Проблема: При определенных небезопасных настройках сервера, в скрипте осуществляется недостаточная фильтрация входящих данных.
Ошибка в версии: Все версии
Степень опасности: Высокая
Для исправления откройте файлы engine/modules/search.php и engine/modules/fullsearch.php и найдите:

    $count_result = 0;

ниже добавьте:

    $sql_count = "";

Откройте файл engine/inc/templates.php и найдите:

    $allow_save = false;

ниже добавьте:

    $_REQUEST['do_template'] = trim( totranslit($_REQUEST['do_template'], false, false) );
    $_REQUEST['do_language'] = trim( totranslit($_REQUEST['do_language'], false, false) );

Либо просто скачайте и скопируйте на свой сервер патч для версии 9.0: Для просмотра ссылки Войди или Зарегистрируйся, изменения для более старых версий скрипта, вносятся вручную, как указано выше.
Дистрибутив версии 9.0 обновлен.

 

[danneo]

Как всегда в ДЛЕ без косяков в фильтрации не обошлось... только дыры находят
Придется колупаться с сайтами. Но все равно, спасибо за инфу.

 

[ORZ]

fucking german bitch

Я шакирован, зашол на сите а там пусто думаю wtf, ну ладно пасматрел категорию его бугоб, а там и новость нашол.
Пазор целке во первих за то цто буг во всех версиях, а во вторих за то цто иму ето неприоритет публиковать на главной.

 

[justelectro]

собственно какая опасность может быть в модуле поиска ?

 

[Соучастник]

опасность высокая, как написано выше
ошибку в БД можно вызвать; а дальше - насколько фантазии хватит.

 

[baltazorg]

А если модуль поиска вообще отключен, то этих манипуляций можно не делать?

 

[E-body]

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

 

[SourCream]

Интерессно... И каким это образом не фильтрует ? Просто в поиск воткнул ", @ и другое... 0 эффекта... Помоему все фильтрует... может кто намекнет хотябы ?

 

[+VAMPIR+]

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

 

[Klepach]

Создатели ДЛЕ уже подзаманали своим продуктом с дырами, мне с каждым годом уменьшается желание лицензию купить для движка хоть на один сайт.