安全：安全公告：关闭自定义头像上传

发布者: Mithrandir于 2005/3/8 7:30:00 33590 阅读
已报告XOOPS核心存在一个漏洞，允许注册用户向web服务器上传可能有害的脚本。

漏洞出在于自定义头像的上传，在我们对后果和漏洞利用的修正有一个完整概述之前，建议所有XOOPS网站管理员在系统管理 -> 首选项 -> 用户信息设置 -> "允许自定义头像上传"中关闭自定义头像上传。

此外，不允许任何不受信任的用户通过图像管理器上传图像，即在管理菜单 -> 系统管理 -> 图像编辑每个类别，不允许不受信任用户组上传。

一旦我们有了对这个漏洞的修复，我们将及时通知您。

XOOPS 核心开发团队


更新
修复已可用。
如果在更深入的测试中没有遇到特定问题，它将于明天发布。

在此期间，欢迎尝试它并给我们一些反馈的人。
要安装它，请将以下两个文件上传到您的XOOPS /class/文件夹中
uploader.php (确认您获取的是修订版1.18，或稍等片刻...)
mimetypes.inc.php

SF viewcvs更新是定期进行的，但您可能需要等待几分钟才能可用。或者，具有匿名cvs访问权限的人现在可以从XOOPS cvs存储库中获取它们。

skalpa.>
(多亏了 php_pp :)