Spíš nepředpokládá, že by někdo dokuwiki používal pro prási s údaji vyžadujícími zabezpečení; a pokud už ji používá, tak že ví, co musí zakázat, aby nevznikly bezpečnostní díry.Petr Vileta píše:Zajímalo by mě, proč ta funkce povolení html, a dokonce i php, v dokuwiki vůbec existuje, když to je tak nebezpečné. To je autor takový idiot?
Přesně takJiri Kaderavek píše:HTML samozřejmě mění každý správce obsahu ve většině redakčních systémů. To, že je povoleno vkládat html i třeba s javascriptem je jedna věc, to, kdo jej může vkládat a zda se případně provede ještě další kontrola na vložený kód je věc druhá. Ale protože se to Krtkovi nechce řešit, tak to dopadne jako s aplikací pro evidenci členů. Místo, aby provedl fix a zajistil provozuschopnost, tak to prostě vypne a Piráti, běžte se klouzat. Mmchd. vkládat lze i PHP kód.
dočetl, tak povolení html umožňuje cross site scripting a podle příkladů tam uvedených jsem došel k asi hloupému názoru, že to by se dalo jednoduše eliminovat pomoci vhodného nastavení mod_rewrite v Apache. Nejsem v tom žádný expert, ale snad by nebyl takový problém v URL znaky < a > nahradit html entitami < a > a pak se ten skript nevykoná, ale zobrazí. A možná by šlo vymyslet něco ještě chytřejšího.Kód: Vybrat vše
function html($text, $wrapper='code')
{
global $conf;
global $DWPID; /* this is set if used thru display_wiki_page, need check another embed plugins - embed, include ... */
global $ID;
global $USERINFO;
if($conf['htmlok']) {
$pageid = @$DWPID;
if (!$pageid) $pageid = $ID;
$lastchange = p_get_metadata($pageid, 'last_change'); /* get info about last editor */
if (!is_array($lastchange)) /* if not changed in dw, then ok - */ {
$this->doc .= $text; /* include html */
return;
}
$editor = $lastchange['user'];
if (auth_isMember('@admin', $editor, $USERINFO['grps'])) /* check if modified by @admin */ {
$this->doc .= $text; /* include html */
return;
}
}
$this->doc .= p_xhtml_cached_geshi($text, 'html4strict', $wrapper);
}
) by nasledne udelal review zadaneho snippetu a rucne pridal ten hmac do pole. Autor by potom obnovil zadanou verzi.Kód: Vybrat vše
$hmac = bin2hex(mhash(MHASH_MD5, $data, $key));
Kód: Vybrat vše
function md5hmac ($data, $key)
{
// RFC 2104 HMAC implementation for php.
// Creates an md5 HMAC.
// Eliminates the need to install mhash to compute a HMAC
// Hacked by Lance Rushing
$b = 64; // byte length for md5
if (strlen($key) > $b) {
$key = pack("H*",md5($key));
}
$key = str_pad($key, $b, chr(0x00));
$ipad = str_pad('', $b, chr(0x36));
$opad = str_pad('', $b, chr(0x5c));
$k_ipad = $key ^ $ipad ;
$k_opad = $key ^ $opad;
return md5($k_opad . pack("H*",md5($k_ipad . $data)));
}
$hmac = bin2hex(md5hmac($data,$key);
Nevím kdy to spustíte, ale mohl bych rovnou požádat o schválení všech stránek rozpočtů z tohoto seznamu? Obsah html tagu by se neměl měnit, pokud si nějaký kraj nepřidá rozpočtovou kapitolu. Pak bych to změnit musel a znovu bych požádal o schválení.Lukas Novy píše:@Vaclave, dokazes upravit nas renderer, tak aby xhtml renderoval jenom kdyz v metadatu render_html (coz by bylo pole) existuje md5hmac obsahu toho html tagu? Schvalovani by bylo na pozadani, autor by stranku upravil do cilove podoby a pak obnovil predchozi verzi. Ja (nebo nekdo delegovany, ale fakt pochybuju
se mi zda dost absurdni ...Lukas Novy píše:..., ale dokonce i dlouhodobe a nezvratne poskodit obraz Piratske strany jako strany s vybornou orientaci v informacnich technologiich, pocitacove bezpecnosti.
To ti řeknu rovnou ... najdi lidi ... aspoň 20. Kteří budou mít čas a budou tomu rozumět.Vaclav Klecanda píše:Doufam, ze po volbach rozjedem debatu, kterak stranicke systemy ozivit.