Баг-фиксы DataLife Engine: Баг-фикс Недостаточная фильтрация входящих данных

[Vlasiclavka 0]

сегодня увидел в инете :

Проблема: Недостаточная фильтрация входящих данных.

Ошибка в версии: Все версии

Степень опасности: Средняя

Фикс:

Открыть файл engine/inc/options.php

Найти:

$editfullname = $db->safesql( $_POST['editfullname'] );

Заменить на:

$editfullname = $db->safesql( strip_tags($_POST['editfullname']) );

кто что сказать может ?

реальная тема ?

[Hydrargyrum 2]

А сюда вы не заглядываете?

http://dle-news.ru/bags/

[Zedd 0]

Hydrargyrum,

это не полный баг-фикс, полный тут:

_http://dletweak.ru/bug-fix/1606-nedostatochnaya-filtraciya-vxodyashhix-dannyx.html

Если у Вас не много народу в админ-центр имеют доступ то он я думаю не очень нужен...чтоб понять что исправляете, в админке, в личных настройках в поле имени, icq или email введите

<script>alert("Тут может быть код и пострашнее чем просто alert");</script>

и потом зайдите в свой профиль на сайте

[WWW.ZEOS.IN 1 161]

это не полный баг-фикс, полный тут:

_http://dletweak.ru/bug-fix/1606-nedostatochnaya-filtraciya-vxodyashhix-dannyx.html

На официальном сайте DLE не полная, а на левом сайте будет полная? Что за бред?

[celsoft 6 081]

О данной проблеме мне давно известно, но она не получала статуса уязвимости, это обычная ошибка, а исправления по ошибкам вне версий не выходят, только вместе с новой версией. почему это не уязвмость:

1. Осуществление данной операции возможно только в админпанели, куда не имеют доступа посторонние лица, а те кто имеют доступ врядли это будут делать, т.к. в силу своего доступа могут осуществить куда более существенный вред при наличии умысла, т.к. минимум что они имеют это контроль над новостями в админпанели.

2. При использовании данной ошибки, нельза получить чужой доступ, например администраторский, и нельзя осуществить взлом сайта. Воизбежания вопросов почему, поясню: DLE использует защищенные куки, которые нельзя получить через JS.

[flo.mAster 7]

2. При использовании данной ошибки, нельза получить чужой доступ, например администраторский, и нельзя осуществить взлом сайта. Воизбежания вопросов почему, поясню: DLE использует защищенные куки, которые нельзя получить через JS.

Если не секрет, как вы этого добились?