ThWboard Support-Forum (Archiv)

Tendor schrieb am 30.03.2003 um 14:45 Uhr

moin,
ein bug in der news.php ermöglicht einem das lesen aller news, auch den internen....

ein fehlendes addslashes ist mal wieder schuld und erlaubt es einem die query zu modifizieren....

gruß
tendor

Superhausi schrieb am 05.04.2003 um 13:18 Uhr

Bitte schick den genauen ort des Bugs per PM... Kanns leider bei bestem Willen nicht finden... :\

Tendor schrieb am 05.04.2003 um 15:12 Uhr

done

Juergen schrieb am 07.04.2003 um 01:01 Uhr

die bugs sind doch alle über die server config zu beheben oder?

ich versuche mich die letzten tage ein wenig damit zu befassen. bin mal zu diesem ?wissen? gekommen:

die sicherheitslücken entstehen in dem moment, wo man zb über id=blabla die sql abfrage erweitern/ändern kann. dieses dürfte doch aber nur möglich sein, wenn in der php.ini magic_quotes_gpc = Off ist?

das addslashes macht doch nichts anderes wie die magic_quotes_gpc oder?

und was hat das mit _post _get usw auf sich?

gruß

Jonas schrieb am 07.04.2003 um 02:11 Uhr

register_globals auf off, das das thwb aber noch mit extract($_REQUEST) arbeitet bringt das NOCH nichts

Juergen schrieb am 07.04.2003 um 02:35 Uhr

ich meine wenn ich von der offinziellen version abweichen möchte und die updates in zukunft selbst machen will, wie müsste man es umschreiben, um die sicherste version zu erhalten?

Jonas schrieb am 07.04.2003 um 11:40 Uhr

sehr stark, und du muesstest dich verdammt gut mit php auskennen...