Bonjour, vous attendez de la communauté un support le plus précis et le plus rapide qu'il soit !
Vous débutez avec Maximus, veuillez consulter de prime abord ce fil de discussion, et celui-ci ... De notre coté, nous sommes désireux d'apporter le support le plus adapté qu'il soit à chaque situation ... Pour commencer, avez vous consulté le wiki maximus et/ou les tutoriaux ???
Aussi la solution est simple et applicable rapidement: 1 ) Pour tout nouveau fil de discussion, mettez un titre le plus explicite possible 2 ) Remplissez du plus précisément possible votre mini-fiche 3 ) Pensez qu'une réponse peut être postée plusieures heures voir quelques jours après votre question, il est donc bon de remonter le sujet de temps en temps mais point trop n'en faut :) 4 ) Pensez que Maximus est livré avec le forum bbToMax version 1.0.0 à l'origine, et que vous trouverez la dernière version 1.0.2 de disponible sur www.bbtomax !!! 5 )Vous reconnaissez, en postant sur ce site, avoir pris connaissance du règlement interne ! Nous vous souhaitons une forte réussite dans votre projet par le biais de Maximus CMS.
Inscrit le: Jan 03, 2006 Messages: 223 2348 points
Lieu de résidence
Sujet du message: Méchante faille ? Posté le: Ven 23 Mar, 2007 2:00 am
Bonsoir bonsoir,
Eh oui, moi étant une bite en php j'ai trouvé un bug voir une trés grosse faille (sa j'en sais rien).
C'est trés simple : déconnectez vous d'un site Maximus.
En haut, mettez comme lien : modules.php?name=Your_Account&op=edituser
La on a un magnifique message d'erreur du style :
Code:
Fatal error: Call to undefined function: nav() in C:\WM\www\Maximus_Fuzion_BS_16_05_2006\html\modules\Your_Account\public\edituser.php on line 42
J'ouvre donc ma page edituser.php. Qu'est ce que je vois ligne 42 ?
Code:
nav();
Rien d'innormal. Donc je mets juste deux flash devant.
Et la surprise !!!! En étant déconnecté, j'ai acces à l'edit user !
Cela veut donc dire que edit user s'affiche connecté ou pas, donc il ne vérifie par si on est connecté ou pas.
J'ai pas les compétance pour savoir si c'est trés dangereux mais je tenez juste ou vous informer :
1) De ce bug
2) De peut être cette faille.
Je vais dormir moi !
Participez sur nos forums, et retrouvez en lieu et place de la publicité des informations plus précises sur chacun des utilisateurs, identifiez vous dès à présent
Inscrit le: Jan 03, 2006 Messages: 223 2348 points
Lieu de résidence
Sujet du message: Re: Méchante faille ? Posté le: Ven 23 Mar, 2007 2:50 am
Bon je viens de voir un peu quelques fichier et pas beaucoup vérifie si on est connecté ou pas
Pourtant la fonction existe dans le fichier users.php dans le kernel.
Donc aprés il suffit juste de mettre une condition du genre :
Code:
if (!is_user($user)) {
Opentable();
echo "Tu fois t'inscrire blablabla";
Closetable();
}else{
blabla le code
Vala.
Pitin, c'est que je commence à toucher le php
Qu'est ce qui m'arrive ???
Pour info j'ai fais une mini galerie avec system d'upload pour chaques user
Je comprend pas comment je fais
Participez sur nos forums, et retrouvez en lieu et place de la publicité des informations plus précises sur chacun des utilisateurs, identifiez vous dès à présent
Sujet du message: Re: Méchante faille ? Posté le: Ven 23 Mar, 2007 10:49 am
Hello,
Après t'être déconnecté et être allé sur la page Your_Account, as-tu tenté de recharger la page ?
Normalement, ça devrait te réafficher la page de login, la page edituser étant dans le cache de ton navigateur... Non ?
Participez sur nos forums, et retrouvez en lieu et place de la publicité des informations plus précises sur chacun des utilisateurs, identifiez vous dès à présent
Sujet du message: Re: Méchante faille ? Posté le: Ven 23 Mar, 2007 11:45 am
salut a tout 2
j'ai bien relus le fil, je suis allé voir le fichier incriminé ... et je dirai que bigboss a quelque part raison de 'tilter' !
regarde sdf, sans faire dans la psychose car il est vrai que dans le script on vérifie si ( après requête ) la personne a le droit de voir ...
mais n'est il pas plus prudent de fermer carrément dès l'entrée du fichier, je pense que oui !
voilà donc ( faille non ) , exploitable ( très difficile ), mais je pense aussi qu'il faut mettre un contrôle ici avec un define
très simple en plus
ligne 35 du fichier edituser.php on ajoute ceci:
Code:
defined('USER_ALLOW') OR header('location: index.php');
ce code est aussi à rajouter dans :
- chngtheme.php
- editcomm.php
- edituser.php
- edithome.php
je vais actualiser le pack complet avec ceci dans la foulée
Merci bigboss
n'hésite pas quand tu vois quelque chose de strange, il vaut mieux signaler pour rien que de ne rien dire et laisser une erreur ou une faille potentielle
Participez sur nos forums, et retrouvez en lieu et place de la publicité des informations plus précises sur chacun des utilisateurs, identifiez vous dès à présent
Sujet du message: Re: Méchante faille ? Posté le: Ven 23 Mar, 2007 12:55 pm
Hello à tous !
Merci pour ses infos
PS: Cyril es ce qu'il sera possible de nous donner les autres lignes a modifier pour ceux qui le font a la mano ?
EDIT: ou il faut juste le mettre apres defined('MAXIMUS') dans chaqun des fichier ?
Merci d’avance !
Benoît
Participez sur nos forums, et retrouvez en lieu et place de la publicité des informations plus précises sur chacun des utilisateurs, identifiez vous dès à présent
Sujet du message: Re: Méchante faille ? Posté le: Ven 23 Mar, 2007 1:04 pm
salut
juste le define dans les fichiers cités au même endroit après les deux autres define déjà présents
Participez sur nos forums, et retrouvez en lieu et place de la publicité des informations plus précises sur chacun des utilisateurs, identifiez vous dès à présent
Sujet du message: Re: Méchante faille ? Posté le: Ven 23 Mar, 2007 2:11 pm
OK merci
Participez sur nos forums, et retrouvez en lieu et place de la publicité des informations plus précises sur chacun des utilisateurs, identifiez vous dès à présent
Inscrit le: Feb 03, 2006 Messages: 2548 30138 points
Lieu de résidence
Sujet du message: Re: Méchante faille ? Posté le: Ven 23 Mar, 2007 3:08 pm
Hello.
Sauf que si l'on fait comme ceci, le cas
Code:
else {
mmain($user);
}
ne sert plus à rien.
Alors que si le define est la troisième condition du if, exmple avec le edit user
Code:
if ((defined('USER_ALLOW')) AND ($userinfo['username'] == $cookie[1]) AND ($userinfo['user_password'] == $cookie[2]))
on se retrouve bien dans la logique du script, à savoir renvoyer vers l'identification du membre.
Voire même faire le test dans le index.php du Yat , car c'est bien lui qui ouvre les portes.
Participez sur nos forums, et retrouvez en lieu et place de la publicité des informations plus précises sur chacun des utilisateurs, identifiez vous dès à présent
Sujet du message: Re: Méchante faille ? Posté le: Ven 23 Mar, 2007 4:16 pm
oulaaaa !!
bien vu helger, je suis tombé droit dans le panneau
mdr :), heureusement que tu as contrôlé
Donc sujet clos, à ne surtout pas faire ce que j'ai pu dire sur ce fil, laissez le YAT comme il est, il est bien mdr :)
Participez sur nos forums, et retrouvez en lieu et place de la publicité des informations plus précises sur chacun des utilisateurs, identifiez vous dès à présent
Inscrit le: Feb 03, 2006 Messages: 2548 30138 points
Lieu de résidence
Sujet du message: Re: Méchante faille ? Posté le: Ven 23 Mar, 2007 9:14 pm
Attends Cyril, j'ai bien modifié quelque chose.
Dans l'exemple, l'original est :
Code:
if (($userinfo['username'] == $cookie[1]) AND ($userinfo['user_password'] == $cookie[2]))
le modifié est
Code:
if ((defined('USER_ALLOW')) AND ($userinfo['username'] == $cookie[1]) AND ($userinfo['user_password'] == $cookie[2]))
Je teste donc bien si le user existe.
Si il n'existe pas, il renvoie sur l'identification.
Participez sur nos forums, et retrouvez en lieu et place de la publicité des informations plus précises sur chacun des utilisateurs, identifiez vous dès à présent
Vous ne pouvez pas poster de nouveaux sujets dans ce forum Vous ne pouvez pas répondre aux sujets dans ce forum Vous ne pouvez pas éditer vos messages dans ce forum Vous ne pouvez pas supprimer vos messages dans ce forum Vous ne pouvez pas voter dans les sondages de ce forum Vous pouvez joindre des fichiers Vous pouvez télécharger des fichiers
Hebeh.com, hebergement professionnel de sites internet www.hebeh.com
Hicih.com, noms de domaine pour vos sites internet www.hicih.com
Les forums
Accueil
10 derniers posts
[Tuto] comment modifier la disposition de mes articles ?
2348 points
