Next Generation CMS :: Форум поддержки

Заинтересовала наша система? Тогда этот форум для Вас!

Вы не зашли.

#1 2010-04-04 09:33:29

Frankie
Участник
Зарегистрирован: 2010-04-04
Сообщений: 38
Рейтинг :   
Сайт

Уязвимости NGCms

Привет, ребята, давно хочу сделать че-нить на вашем двиге, вот все-таки дошли руки. делаю сайтец на 0.9.1 Release [420]

Стал искать плагины для двига и наткнулся вот на такую тему на одном из форумов:

_http://forum.xeka.ru/f58/t21047/

потом стал искать дальше и нашел еще, впринципе то же самое:

Ngcms

XSS Активная (!)

Регестрируемся
В поле "Сайт" и "Откуда"
Код:
"><script>alert();</script>

При просмотре админом через админ панель ваш профайл, выполняется XSS.

PHP код:
$tvars['vars'] = array(
'php_self' => $PHP_SELF,
'sort_options' => $sort_options,
'how_options' => $how_options,
'npp_nav' => $npp_nav,
'entries' => $entries,
'per_page' => $per_page,
'name' => htmlspecialchars($_REQUEST['name']),
);

$tpl -> template('table', tpl_actions.$mod);
$tpl -> vars('table', $tvars);
echo $tpl -> show('table');

Ещё есть.

При добавление новости.
В краткое содержание или полное без разницы.
Код:
[img]javascript:alert('XSS')[/img]

PHP код:
$tvars['vars'] = array(
'php_self' => $PHP_SELF,
'changedate' => ChangeDate($row['postdate']),
'catlist' => makeCategoryList(array('skip' => $cats, 'nameval' => 1)),
'allcats' => @GetAllCategories($cats),
'comments' => $parse->smilies($comments),
'id' => $row['id'],
'title' => secure_html($row['title']),
'short' => secure_html($story[0]),
'full' => secure_html($story[1]),
'alt_name' => $row['alt_name'],
'avatar' => $row['avatar'],
'description' => secure_html($row['description']),
'keywords' => secure_html($row['keywords']),
'views' => $row['views']
);

PS
Уязвим везде параметр [img][/img]

Господа Разрабы, скажите эти дыры уже закрыты или нет? Если есть какие-то заплатки скажите пожалста где из можно скачать.
спасибо

Не в сети

#2 2010-04-04 10:21:22

infinity237
Модератор
Откуда Russia, Moscow
Зарегистрирован: 2008-11-09
Сообщений: 2,674
Рейтинг :   176 
Сайт

Re: Уязвимости NGCms

Тема не раз уже поднималась.

1. XSS в комментариях была спалена мною ещё в январе 2009. Соотвтетственно она должна быть закрыта в 0.9.1.
2. XSS в профиле исправлена в CS 412 (18/10/2009) - дата выхода 0.9.1 Release [420] (24/10/2009) - соответственно и эта XSS должна быть исправлена.

Позже ~ в январе 2010 была исправлена ещё одна XSS, поэтому рекомендую всёже дождаться релиза 0.9.2 и делать сайт уже на этой версии.
На самом деле от XSS никто не застрахован, возможно они есть, но мы о них не знаем. big_smile

Изменено infinity237 (2010-04-04 10:22:06)

Не в сети

#3 2010-04-04 10:25:18

Frankie
Участник
Зарегистрирован: 2010-04-04
Сообщений: 38
Рейтинг :   
Сайт

Re: Уязвимости NGCms

infinity237 пишет:

Позже ~ в январе 2010 была исправлена ещё одна XSS, поэтому рекомендую всёже дождаться релиза 0.9.2 и делать сайт уже на этой версии.

поздно, уже начал делать)

Не в сети

#4 2010-04-04 10:27:35

infinity237
Модератор
Откуда Russia, Moscow
Зарегистрирован: 2008-11-09
Сообщений: 2,674
Рейтинг :   176 
Сайт

Re: Уязвимости NGCms

Frankie пишет:
infinity237 пишет:

Позже ~ в январе 2010 была исправлена ещё одна XSS, поэтому рекомендую всёже дождаться релиза 0.9.2 и делать сайт уже на этой версии.

поздно, уже начал делать)

Ну там ничего серъёзного, если не тупить. big_smile Потом обновишься сразуже 0.9.1 -> 0.9.2 и всё норм.

Изменено infinity237 (2010-04-04 10:27:51)

Не в сети

#5 2010-04-04 10:44:20

Frankie
Участник
Зарегистрирован: 2010-04-04
Сообщений: 38
Рейтинг :   
Сайт

Re: Уязвимости NGCms

infinity237 пишет:

Потом обновишься сразуже 0.9.1 -> 0.9.2 и всё норм.

а долго еще новой версии ждать? протсо думаю ща плагины кой-какие поставить или подождать?

Изменено Frankie (2010-04-04 10:44:37)

Не в сети

#6 2010-04-04 10:48:17

infinity237
Модератор
Откуда Russia, Moscow
Зарегистрирован: 2008-11-09
Сообщений: 2,674
Рейтинг :   176 
Сайт

Re: Уязвимости NGCms

А какая разница когда ставить плагины? Их можно и сейчас поставить, на обновление это никак повлиять не должно.

Не в сети

#7 2010-04-04 11:11:21

Frankie
Участник
Зарегистрирован: 2010-04-04
Сообщений: 38
Рейтинг :   
Сайт

Re: Уязвимости NGCms

infinity237 пишет:

А какая разница когда ставить плагины? Их можно и сейчас поставить, на обновление это никак повлиять не должно.

а я думал тут как в дле, после обновления двига надо все модули заново ставить))
я ж говорю, это мой первый сайт на NG))

Не в сети

#8 2010-04-04 11:24:13

Wolverine
Модератор
Откуда Домодедово
Зарегистрирован: 2008-10-13
Сообщений: 3,538
Рейтинг :   160 
Сайт

Re: Уязвимости NGCms

Frankie пишет:

а я думал тут как в дле, после обновления двига надо все модули заново ставить))

система не как DLE smile Тут все четко

Не в сети

#9 2010-04-04 15:21:11

vitaly
Администратор
Откуда Россия
Зарегистрирован: 2008-10-08
Сообщений: 2,823
Рейтинг :   118 

Re: Уязвимости NGCms

Frankie, плагины и движок достаточно сильно разделены, поэтому в большинстве случаев апгрейд ядра плагины никак не затронет.
А если вдруг и понадобится проапгрейдить какие-то плагины, то это делается обычной заменой файлов самих плагинов.

Хаки кода (которые массово используются в DLE) у нас хоть и возможны, но не приветствуются. Как раз по причине сложности обновления кода.

Не в сети

Подвал раздела

Работает на FluxBB