Уязвимость XML- и RSS-рассылки

Поделиться1Сб, 21 Июл 2012 15:39:46

Автор: kozhilya
Модератор
Зарегистрирован: Сб, 1 Окт 2011
Сообщений: 541
Уважение: +381
Позитив: +205
Пол: Мужской
Последний визит:
Пт, 15 Ноя 2024 21:22:19

Бездельничая (а точнее писав интересный скрипт, оттыдахая от более полезных дел и скриптов), я внезапно обнаружил серьёзную уязвимость. Не знаю, была ли она ранее обнаружена или нет, но вот она.

Итак, уязвимость касается запросов к серверу типа

http://<Адрес форума>/export.php?type=xml&tid=<Адрес темы>

и

http://<Адрес форума>/export.php?type=rss&tid=<Адрес темы>

Примером покажу эту тему.
Во втором сообщении этой темы я написал следующее сообщение:

Код:

[hide=100500]Пример возможного прочтения скрытого сообщения.[/hide]

.

Если пройти по любой из следующих ссылок:
http://forum.mybb.ru/export.php?type=xml&tid=31138
http://forum.mybb.ru/export.php?type=rss&tid=31138
И увидеть, что это именно так:

Как видите, у любого, даже гостя, кто знает этот баг появляется возможность прочесть сообщение, непредназначенное для общих глаз.

Я думаю, что прежде чем выдавать подобную рассылку, стоит для начала вырезать содержимое тегов hide...

Отредактировано kozhilya (Сб, 21 Июл 2012 15:48:43)

+1

Поделиться2Сб, 21 Июл 2012 15:40:31

Автор: kozhilya
Модератор
Зарегистрирован: Сб, 1 Окт 2011
Сообщений: 541
Уважение: +381
Позитив: +205
Пол: Мужской
Последний визит:
Пт, 15 Ноя 2024 21:22:19

0

Поделиться3Сб, 21 Июл 2012 15:55:49

Автор: RUSSIAN_GOBLIN
Cтарожил
Зарегистрирован: Пн, 8 Окт 2007
Сообщений: 2554
Уважение: +708
Позитив: +596
Пол: Мужской
Последний визит:
Вт, 5 Окт 2021 21:21:25

kozhilya, сам видишь что бибикоды просто так выдаются - без всякой обработки. Включая [hide]

0

Поделиться4Сб, 21 Июл 2012 16:06:06

Автор: kozhilya
Модератор
Зарегистрирован: Сб, 1 Окт 2011
Сообщений: 541
Уважение: +381
Позитив: +205
Пол: Мужской
Последний визит:
Пт, 15 Ноя 2024 21:22:19

RUSSIAN_GOBLIN
Это я уже понял. Но, согласись, что это очень плохо, когда гость имеет шанс посмотреть, что пишется администратору/модератору.

0

Поделиться5Сб, 21 Июл 2012 16:33:47

Автор: RUSSIAN_GOBLIN
Cтарожил
Зарегистрирован: Пн, 8 Окт 2007
Сообщений: 2554
Уважение: +708
Позитив: +596
Пол: Мужской
Последний визит:
Вт, 5 Окт 2021 21:21:25

kozhilya написал(а):

Но, согласись, что это очень плохо, когда гость имеет шанс посмотреть, что пишется администратору/модератору.

Шанс есть, только если знать как смотреть.

Я считаю не надо это фиксить. Пусть остаётся фича как есть.

0

Поделиться6Сб, 21 Июл 2012 16:56:05

Автор: kozhilya
Модератор
Зарегистрирован: Сб, 1 Окт 2011
Сообщений: 541
Уважение: +381
Позитив: +205
Пол: Мужской
Последний визит:
Пт, 15 Ноя 2024 21:22:19

RUSSIAN_GOBLIN написал(а):

Шанс есть, только если знать как смотреть.

Не согласен. Конфиденциальность администраторской переписки, мне кажется, очень важна.

0

Поделиться7Сб, 21 Июл 2012 22:59:28

Автор: Хатико
Заслуженный
Зарегистрирован: Сб, 2 Июл 2011
Сообщений: 1067
Уважение: +685
Позитив: +1582
Пол: Мужской
Последний визит:
Пн, 18 Ноя 2024 17:40:06

kozhilya написал(а):

Не согласен. Конфиденциальность администраторской переписки, мне кажется, очень важна.

Делайте это в спец теме доступной только администрации ,а мое мнение

RUSSIAN_GOBLIN написал(а):

Я считаю не надо это фиксить. Пусть остаётся фича как есть.

пусть все останется

0

Поделиться8Вс, 30 Сен 2012 21:05:18

Автор: Admin
без бороды и бубна
Зарегистрирован: Вт, 26 Сен 2006
Сообщений: 4185
Уважение: +4060
Позитив: +222
Пол: Мужской
Последний визит:
Пт, 21 Фев 2020 11:49:55

kozhilya
Огромное спасибо за сообщение о проблеме!
Жаль, что тему никто не подымал и я только сегодня её обнаружил.
Проблема устранена. Более того, теперь RSS выводится в более дружелюбном HTML: с картинками, цитатами и смайликами.