ALLARME! ALLARME! NUKE 7.7 - 7.8 ATTACCABILI!!!

rino · Amministratore Registrato: Sep 28, 2004 Messaggi: 4606 Località: Anzio

Bob Marion ha pubblicato la seguente news:
ATTENZIONE!!!!!!! Il nuovo editor WYSIWYG apre il tuo sito a molti attacchi di tipo sql injection attacks come pure a molti altri tipi di attacchhi! Durante le mie prove ho trovato che alcune stringhe possono essere pericolose sia usando sia non usando l'editor WYSIWYG nelle textareas nelle versioni 7.7 e 7.8 . Personalmente NON USERO' LE VERSIONI 7.7 e 7.8 a causa degli accresciuti problemi di rischio sicurezza! Vi terremo aggiornati sugli sviluppi.

krima · Newbie Registrato: Jan 21, 2005 Messaggi: 176

Intanto io lo ho levato.

Non ho idea se sia sufficente ma di sicuro aiuta. Per chi vuole eliminare l'editor aprire il file javascript.php contenuto nella cartella includes

Cercare:

global $module, $name, $admin, $advanced_editor, $lang;

e modificarlo cosi:

/*global $module, $name, $admin, $advanced_editor, $lang;

Poi scendere fino a trovare:

";
}
if ($userpage == 1) {

e modificarlo così:

";
} */
if ($userpage == 1) {

In pratica in questo modo viene commentata e quindi esclusa tutta la parte che richiama l'editor nelle aree di testo.

Inoltre nel modulo Submit_News mettere il file index.php di Nuke 7.6 al posto di quello di Nuke 7.7.

Ripeto che non ho idea se questo basti ma è certo che l'editor smette di funzionare e il modulo Submit_News diventa sicuro.

piermin · senior Registrato: Dec 18, 2003 Messaggi: 1298

il ragionamento è giusto ... però mi sembra che togli troppe variabili dalle global !!! (controlla quelle che servono alla popup del copyright)

... resta comunque il fatto che se dopo le modifiche togli anche la cartella tiny_mce ... hai completamente eliminato il problema !!|

krima · Newbie Registrato: Jan 21, 2005 Messaggi: 176

Quelle variabili sono strettamente collegate all'editor. Se dai un'occhiata al js della 7.6 vedrai che non esistono. Comunque per sicurezza ho eliminato anche la cartella come hai detto tu, non si sa mai.

Crimor · Inviato: 06-06-2005 17:35 Oggetto:

E meno male che Francisco Burzi aveva detto che la 7.7 era la versione più sicura Laughing

Per le Sql injection, è vulnerabile anche chi ha installato Sentinel e la union tap 4?

piermin · senior Registrato: Dec 18, 2003 Messaggi: 1298

weblord · Newbie Registrato: Mar 19, 2003 Messaggi: 260

Ha ragione krima: la parte che hai indicato tu piermin non rientra in quella usata per visualizzare l'editor Wink

Ciao

piermin · senior Registrato: Dec 18, 2003 Messaggi: 1298

Scusa Weblord ... ma forse non hai capito la mia amichevole disquisizione con Krima.

Per togliere l'editor lui ha giustamente commentato tutta la parte di codice relativa, però ha sbagliato facendo partire l'esclusione dalla riga della dichiarazione delle variabili ... facendo in questa maniera le ha eliminate tutte mentre le variabili $module e $name servono, come già nelle versioni precedenti, per la visualizzazione della popup del copyright ... non deve toglierle tutte, ma lasciare quelle due.

... se non è cosi ... cambio hobby !!! Very Happy

Crimor · Inviato: 07-06-2005 00:41 Oggetto:

Tra un po' inizieranno ad uscire le patch, così si risolverà questo grave problema.

krima · Newbie Registrato: Jan 21, 2005 Messaggi: 176

piermin · senior Registrato: Dec 18, 2003 Messaggi: 1298

... ora ci siamo capiti !!! ... nella versione che ho io tutte le global sono raggruppate in quella linea ... è per questo che non ci capivamo !!! Laughing

tpaolo · Newbie Registrato: Sep 20, 2004 Messaggi: 22

anch'io uso la 7.7, però da quello che avete scritto non riesco a capire come escludere l'advanced editor

me lo spiegare per favore?

ciao