Отключение динамических ссылок в ссылках на изображения

В целях повышения безопасности скрипта мы настроятельно рекомендуем установить патч, запрещающий использование динамических ссылок при добавлении картинок на сайт в новостях и комментариях. Данный патч предотвращает выполнение скриптов PHP/CGI при добавлении их в URL изображений.

Установка данного патча рекомендуется на все версии скрипта.

Готовый патч версии 6.5: path_65.zip [7,49 Kb] (cкачиваний: 50)

После скачивания патча, замените файл engine/classes/parse.class.php на файл из архива дистрибутива.

Ручное исправление для других версий скрипта отличных от версии 6.5:

Файл: engine/classes/parse.class.php

Найти:

(strpos(strtolower($attrSubSet[1]), 'mocha:') !== false) ||

ниже добавить:

( preg_match( "/[?&;%<\[\]]/", $attrSubSet[1]) AND strtolower($attrSubSet[0]) == "src") ||

Найти:

if ($align != "left" AND $align != "right") $align = '';

$url = $this->clear_url( urldecode( $url ) );

Заменить на

if ($align != "left" AND $align != "right") $align = '';

        if ( preg_match( "/[?&;%<\[\]]/", $url) ) {

            if ($align != "" ) return "[img=".$align."]".$url."[/img]";
            else return "[img]".$url."[/img]";

        }

        $url = $this->clear_url( urldecode( $url ) );

Найти:

        $align = $option[0];

        if ($align != "left" AND $align != "right") $align = '';

Ниже добавить:
        if ( preg_match( "/[?&;%<\[\]]/", $gurl) ) {

            if ($align != "" ) return "[thumb=".$align."]".$gurl."[/thumb]";
            else return "[thumb]".$gurl."[/thumb]";

        }

Другие новости по теме:

Категория: Баги ----- Просмотров: 3693 ----- Комментариев: 9

Вернуться

Daywalker
27 января 2008 12:37

Группа: Гости
ICQ: --

Регистрация: --
Комментариев: 0
Публикаций: 0

Фикс не правильный. После него когда добавляешь новость пишет ошибку.
Для решения проблемы надо
Найти

( preg_match( "/[?&;%<\[\]]/", $attrSubSet[1]) AND strtolower($attrSubSet[0]) == "src") ||

Заменить на

( preg_match( "/[?&;%<[]]/", $attrSubSet[1]) AND strtolower ($attrSubSet[0]) == "src") ||

kypbma
3 февраля 2008 23:25

Группа: User
ICQ: 499736

Регистрация: 3.02.2008
Комментариев: 85
Публикаций: 5

спасибо...

--------------------

http://www.kypbma.ru/ - моя страничка

Karkulis
28 февраля 2008 18:18

Группа: Гости
ICQ: --

Регистрация: --
Комментариев: 0
Публикаций: 0

У меня после этого говна отказала функция редактирования сообщений на форуме сцуко!!!! Поставил тот который был один хер не пашет!!!!

alexben
28 февраля 2008 19:03

Группа: Гости
ICQ: --

Регистрация: --
Комментариев: 0
Публикаций: 0

поетому надо всегда делать дамп перед тем как ставить всякую хрень...

alive
3 марта 2008 10:01

Группа: Гости
ICQ: --

Регистрация: --
Комментариев: 0
Публикаций: 0

alexben угу wink

alexben
3 марта 2008 11:17

Группа: Гости
ICQ: --

Регистрация: --
Комментариев: 0
Публикаций: 0

alive,
у тя кот на авке похожий на моего)))который ща спит на диване)))ыыы

watcher
5 марта 2008 01:29

Группа: Гости
ICQ: --

Регистрация: --
Комментариев: 0
Публикаций: 0

Я так понаставлял всяких примочек, что еле сайт отшептал - но досих пор не дает доступа к "Статические страницы". Теперь сделал еще один сайт - вот он у меня и терпилой стал, эксперементы ставлю. Эт лучше чем делать копию дампа. Сори что не втему =)

Iva
14 мая 2008 15:14

Группа: Гости
ICQ: --

Регистрация: --
Комментариев: 0
Публикаций: 0

Установил на ДЛЕ 6.7. Косяков (тьфу-тьфу) пока не видно. ))

bocman1
19 июня 2008 21:56

Группа: Гости
ICQ: --

Регистрация: --
Комментариев: 0
Публикаций: 0

Alive - Privet!!!