Форум сетевых администраторов - Бага в версии 2.2.5 и в 2.2.6 (+)

Форум сетевых администраторов (http://netadmin.ws/forum/index.php)
- VBulletin 2.x.x (http://netadmin.ws/forum/forumdisplay.php?forumid=45)
-- Бага в версии 2.2.5 и в 2.2.6 (+) (http://netadmin.ws/forum/showthread.php?threadid=2377)

Помещено Shadoff 31-07-2002 в 08:06:

Бага в версии 2.2.5 и в 2.2.6 (+)

всем прива, в общем нашлась такая бага интересная...
при редактировании профиля в поле Индивидуальная надпись Участника (под ником которая)...можно в общем юзать хтмл таги
это можно отключить если не давать пользователям изменять её...
как это можно исправить, ну чтоб нельзя было юзать тэги?
заранее спасибо. А то ведь народ умный пошёл...и редирект поставят...=) а могет чо ещё хуже сделают...
Сорри, если пишу не по теме...но вроде всё так...=)

__________________
http://rlz.grinderz.ws - Public Last Scripts Upped Dump

Помещено maksimka 31-07-2002 в 08:58:

Точно... у меня тоже работает...
а тут не работает...
Polo, может фикс дашь?

__________________
Enjoy!
Maksim'Rus

Помещено Shadoff 31-07-2002 в 09:05:

maksimka
просто это можно использовать в хороших целях, например 2 аватора поставить а можно и в плохих...
Polo, дай плиз фикс...

__________________
http://rlz.grinderz.ws - Public Last Scripts Upped Dump

Помещено maksimka 31-07-2002 в 09:48:

Как админ ты можешь сделать вобще все что угодно - просто на прямую записать в базу СКЛ. А вот пользователям это совершенно не надо.

__________________
Enjoy!
Maksim'Rus

Помещено Denveroid 31-07-2002 в 10:01:

А это делается функцией htmlspecialchars();

__________________
`
SiteMaker.Ru - Академия сайтостроительства

Помещено maksimka 31-07-2002 в 10:12:

ну ты объясни куда и чего вставлять... говорят же - не знаем мы ПХП

и попутно - в каком файле определение ИП посетителя происходит?

__________________
Enjoy!
Maksim'Rus

Помещено Count 31-07-2002 в 10:24:

Если нужно срочно, то делаем так:
1. Открываем member.php.
2. Ищем "if ($HTTP_POST_VARS['action']=="updateprofile")". Далее тихо прокручиваем вниз, пока не появится строчка "if ($customtext) {".
3. Добавляем текст между // фикс и // /фикс

code:

  if ($customtext) {
    $customtext = trim($customtext);
    // фикс
    $customtext = strip_tags($customtext);
    // /фикс

Помещено Shadoff 31-07-2002 в 11:25:

Count
спасип...проверю...

__________________
http://rlz.grinderz.ws - Public Last Scripts Upped Dump

Помещено Shadoff 31-07-2002 в 13:55:

Count
всё равно тэги работают

__________________
http://rlz.grinderz.ws - Public Last Scripts Upped Dump

Помещено Count 31-07-2002 в 14:19:

Shadoff

quote:
всё равно тэги работают

Какие конкретно теги? Я заткнул дыру в редактировании профиля. Точнее данная проверка убирает теги из редактируемого текста. А если они там уже имеются, то это надо убирать в совершенно другом месте...

PS. Жара похоже имеет неприятный эффект. Уже набирая "профиль" получаю "пароль"

Попытаюсь разложить по полочкам:
Вышеприведенная добавка отрезает возможность добавить html при редактировании профиля. Она просто не даст их внести в базу.
Если теги были внесены ДО добавления данной строчки, то они будут выводиться. Я пороюсь, где их можно будет закрыть...

Помещено maksimka 31-07-2002 в 16:06:

И еще помоему, если теги вносить через админ панель, то они будут сохранены.

__________________
Enjoy!
Maksim'Rus

Помещено Count 31-07-2002 в 17:25:

maksimka

quote:
И еще помоему, если теги вносить через админ панель, то они будут сохранены.

Интересно, а кто кроме админа будет вносить изменения через АС�_? Основное требование безопастности - закрыть возможность напортачить юзеру. А админу делать дыры ну совсем ни к чему

Помещено MCTarakan 31-07-2002 в 19:27:

блин... ну удачно фикс сделать!!

__________________
yMC.ru - хомяк музыканта

Помещено maksimka 01-08-2002 в 15:43:

Count
Да я и имею ввиду то, что админ может как раз внести изменения с кодом - и это хорошо!

__________________
Enjoy!
Maksim'Rus

Формат времени GMT. Текущее время 22:27.

Показаны 14 сообщений на этой странице