ConPresso Community

Fragen, Antworten, Diskussionen rund um das Content Management System ConPresso

 
Problem mit numerischen Rubrik-Aufrufen

 
Neue Antwort erstellen    ConPresso Community Foren-Übersicht -> Bugs ConPresso 4
Vorheriges Thema anzeigen :: Nächstes Thema anzeigen  
Autor Nachricht
MarkusR
Handbuchversteher


Anmeldungsdatum: 01.01.1970
Beiträge: 7009

BeitragVerfasst am: 20.10.2013 09:19    Titel: Problem mit numerischen Rubrik-Aufrufen Antworten mit Zitat

Durch das Protokollieren von Datenbankfehlern fallen nun in CPO 4.1.6 Fehler (und damit potentielle Sicherheitslücken) auf, von denen man früher nichts mitbekommen hat.

Ruft man z.B. eine Rubrik-ID auf, die nicht vorhanden ist, dann produziert man damit einen Fehler, weil numerische Angaben einfach durchgewinkt werden, während bei alphanumerischen eine gründliche Kontrolle stattfindet.

Kleines Beispiel:
http://www.conpresso.de/_rubric/index.php?rubric=99
Dieser Aufruf würde nun das Logfile von conpresso.de ins Endlose aufblähen, wenn dort schon die aktuelle ConPresso-Version benutzt würde...

Einfache Abhilfe:
in _include/var_category sucht man
Code:
$cpoRubricId = $_REQUEST['rubric'];

und ersetzt es durch
Code:
$cpoRubricId = (array_key_exists($_REQUEST['rubric'],$cpoRubrics)) ? $_REQUEST['rubric'] : 0;

Dadurch sind nur existierende IDs möglich und bei nicht existierenden wird durch den danach folgenden Code die erste existierende Rubrik mit dem gleichen Rubrikverzeichnis ausgegeben, eben wie bei Rubriknamen auch.

Das gilt übrigens für ALLE Versionen! Ist aber kein Sicherheitsproblem, nur durch das aufgeblasene Log etwas nervig...

_________________
Ciao Markus
ConPresso-Module
ConPresso und PHP 7

 
Für dieses Posting bedanken sich die folgenden User: Mr. Magpie
Nach oben
Benutzer-Profile anzeigen Private Nachricht senden Website dieses Benutzers besuchen
Beiträge der letzten Zeit anzeigen:   
Neue Antwort erstellen    ConPresso Community Foren-Übersicht -> Bugs ConPresso 4 Alle Zeiten sind GMT + 1 Stunde
Seite 1 von 1

 
Gehe zu:  
Du kannst keine Beiträge in dieses Forum schreiben.
Du kannst auf Beiträge in diesem Forum nicht antworten.
Du kannst deine Beiträge in diesem Forum nicht bearbeiten.
Du kannst deine Beiträge in diesem Forum nicht löschen.
Du kannst an Umfragen in diesem Forum nicht mitmachen.
Du kannst Dateien in diesem Forum nicht posten
Du kannst Dateien in diesem Forum herunterladen