XOOPS 上传器安全补丁发布 - XOOPS - XOOPS 新闻

XOOPS™

新闻

XOOPS: 上传器安全补丁发布

发布者: phpppOn 2007年10月1日 6:46:56 阅读次数 19190

如果模块未正确设置上传配置，则上传器类存在潜在漏洞。
该补丁适用于所有XOOPS版本。

从SourceForge XOOPS下载。

说明
将两份文件 /class/uploader.php 和 /class/mimetypes.inc.php 上传到您[class/]文件夹中，并覆盖现有文件。

强烈建议您将此补丁应用到现有的XOOPS系统中。

评论归作者所有，我们不对其内容负责。

Re: 上传器安全补丁发布

hervet 发表于 10/01/2007 7:27 XOOPS好友加入时间 11/04/2003 评论 2267

受影响的XOOPS版本有哪些？

Re: 上传器安全补丁发布

McDonald 发表于 10/01/2007 8:39 家以外的家加入时间 08/15/2005 评论 1072

引用

hervet 写道

受影响的XOOPS版本有哪些？

引用

该补丁适用于所有XOOPS版本。

可能所有至今发布的XOOPS版本都受影响。

Re: 上传器安全补丁发布

发表于 10/01/2007 15:44 加入时间评论

引用

可能所有至今发布的XOOPS版本都受影响。

我怀疑Hervé提到的是最近发布的2.0.17.1RC2......这个修正是否已经包含在内了？

它将包含在“2.0.17.1 最终版”以及所有后续版本中吗？

为了以后如果有人问起，他们肯定会问的，我们知道这一点

Re: 上传器安全补丁发布

McDonald 发布于 2007/10/01 16:23 家外有家加入日期 2005/08/15 评论 1072

/class/uploader.php 和 /class/mimetypes.inc.php 这两个文件在上传补丁中与 XOOPS 2.0.17 RC2 中的内容相同。
因此，补丁被包含在 2.0.17.1 RC2 中。

我认为我们可以假设这个安全补丁也会包含在 2.0.17.1 最终版本中。

Re: 上传器安全补丁发布

Dave_L 发布于 2007/10/01 18:20 XOOPS 是我的生活！加入日期 2003/11/07 评论 2277

McDonald 是正确的。

Re: 上传器安全补丁发布

发布于 2007/10/01 18:39 更新于 2007/10/01 18:50 加入日期评论

引用

McDonald 是正确的。

所以它并不适用于所有版本

上面的评论带有幽默的意图。下面的评论是真诚的。

感谢更新 - 非常感谢

Re: 上传器安全补丁发布

hervet 发布于 2007/10/01 20:27 XOOPS 的朋友加入日期 2003/11/04 评论 2267

我的问题是询问这是否适用于 2.0.17 版本或所有版本，但我已得到了答案。

Re: 上传器安全补丁发布

frankblack 发布于 2007/10/02 7:53 无法长时间离开加入日期 2005/06/13 评论 830

我怀疑经过修复的上传器是否安全？如果我的理解正确，mimetype 检查依赖于浏览器提供的 mimetype 信息。

也许应该在这里或甚至这里进行后续的检查。

但缺点是，必须正确设置或安装某些项目。也许我们可以在下一个版本中看到这一点？

Re: 上传器安全补丁发布

hervet 发布于 2007/10/02 9:25 更新于 2007/10/02 10:09 XOOPS 的朋友加入日期 2003/11/04 评论 2267

Frank，

这是我自己的评论，我已经在玩 mime_content_type，它依赖于一个不一定总是安装且不一定总是更新的文件，并且我没有使用 finfo 函数获得更多的成功。

但您是对的，来自浏览器的信息并不可靠。

** 由我自己编辑 **
如果您使用这个补丁与低于2.0.17版本的XOOPS，您可能会遇到问题，因为这个类使用了一些在旧版本中不存在的定义（比如在2.0.16版本中）。

另一个问题，当模块没有设置文件大小的时候，该类在checkMaxFileSize()函数中返回true，好像一切都很正常。我觉得当用户被告知上传成功，而实际上并不是这样时，这可能会让他们感到困惑，不是吗？

赫尔维。

Re: 上传器安全补丁发布

phppp 发表于2007年2月10日 9:53 XOOPS贡献者加入时间2004年1月25日评论数2857

perhaps we should focus 2.0.18 on all possible vuln

Re: 上传器安全补丁发布

Marco 发表于2007年2月10日 16:38 更新于2007年2月10日 16:57 家离家的感觉加入时间2004年3月15日评论数1256

引用

perhaps we should focus 2.0.18 on all possible vuln

来吧，伙计们，这个“补丁的补丁”过程会成为新的开发规则吗？核心开发者测试他们的工作了吗？
请不要再犯老错误，而从过去的错误中汲取教训。现在不是再犯老错误的时候，这将混淆社区。

此外，我希望你们在2.0.17.1的变更日志中添加一些关于赫尔维的评论的信息（“另一个问题，当模块没有设置文件大小的时候，该类在checkMaxFileSize()函数中返回true，好像一切都很正常。我想用户如果被告知上传成功，而实际上并不是这样，这可能会让他们感到困惑，不是吗？”）

Re: 上传器安全补丁发布

psaxtiri 发表于2007年2月10日 18:24 不太害羞地说话加入时间2007年6月17日评论数185

晚上好。

考虑到XOOPS 2.0.16，这是必要的吗？

你建议先备份一下吗？

Re: 上传器安全补丁发布

MS-2001 发表于2007年2月10日 9:11 相当规律加入时间2004年7月27日评论数204

引用

如果您使用这个补丁与低于2.0.17版本的XOOPS，您可能会遇到问题，因为这个类使用了一些在旧版本中不存在的定义（比如在2.0.16版本中）。

我正在使用与2.0.7.3一起的补丁

到目前为止似乎没有引起任何问题。
您提到的是哪些定义？语言定义？（我也对这些进行了更新）。

Re: 上传器安全补丁发布

Peekay 发表于2007年2月10日 8:28 更新于2007年2月10日 8:29 生活就是XOOPS！加入时间2004年11月20日评论数2335

我知道公告说适用于所有版本，但针对赫尔维的评论，我们能从核心团队得到一个最终的确认——这个补丁适用于所有XOOPS版本（2.0.7. 10, 13, 14等）吗？

Re: 上传器安全补丁发布

MS-2001 发布于 2007/04/10 9:55 相当稳定的用户加入于 2004/07/27 评论数 204

正如我说的，它与2.0.7.3配合得很好。到现在为止，我没有发现任何问题。

Re: 上传器安全补丁发布

hervet 发布于 2007/04/10 14:13 XOOPS 的朋友加入于 2003/11/04 评论数 2267

引用

正如我说的，它与2.0.7.3配合得很好。到现在为止，我没有发现任何问题。

如果您上传文件并出现错误，您将看到一些定义，例如（仅为例）_ER_UP_MIMETYPELOAD，而不是文本（因为这些定义只在2.0.17中的一个新文件/xoops/language/mylang/uploader.php中存在）

Re: 上传器安全补丁发布

Peekay 发布于 2007/04/10 15:55 XOOPS 就是我的生活！加入于 2004/11/20 评论数 2335

感谢 Hervet。那么，文件/xoops/language/mylang/uploader.php和有关如何放置它的说明确实应该添加到补丁下载中，是吗？

Re: 上传器安全补丁发布

hervet 发布于 2007/04/10 16:17 XOOPS 的朋友加入于 2003/11/04 评论数 2267

只有核心团队才能给你答案。

Re: 上传器安全补丁发布

MS-2001 发布于 2007/04/10 14:17 相当稳定的用户加入于 2004/07/27 评论数 204

引用

如果您上传文件并出现错误，您将看到一些定义，例如（仅为例）_ER_UP_MIMETYPELOAD，而不是文本（因为这些定义只在2.0.17中的一个新文件/xoops/language/mylang/uploader.php中存在）

我考虑了这一点。

Re: 上传器安全补丁发布

Peekay 发布于 2007/04/10 8:20 XOOPS 就是我的生活！加入于 2004/11/20 评论数 2335

看起来这个安全补丁不完整，不能与 Xoops 的所有版本一起使用。当然，将缺失的文件添加到下载中不是什么大事？

关于 XOOPS 上传安全补丁发布[对我来说有必要吗？]

allnewtome 发布于 2007/04/10 10:11 不太害羞开口加入于 2005/11/30 评论数 175

这个问题可能看起来很傻...

我启用了php safe mode，并且我所有的模块都没有设置为允许上传。

我需要使用这个补丁吗？

或者我等待 XOOPS 2.0.17.1 发布时（我现在使用 2.0.16）就安全了吗？

谢谢。

Login

Username

Password

Remember me

Search

Advanced Search

Donat-O-Meter

Stats
Goal:	$100.00
Due Date:	Aug 31
Gross Amount:	$0.00
Net Balance:	$0.00
Left to go:	$100.00

Latest GitHub Commits

{{ record.sha.slice(0, 7) }} - {{ record.commit.message | truncate }}

{{ record.commit.author.name }} {{ record.commit.author.date | formatDate }}