[Админам]

Патчи безопасности для версий 9.7 и ниже

Проблема: Проведение SQL инъекций, в случае игнорирования администратором сайта уведомления в админпанели скрипта, о недопустимости включения на сервере небезопасной настройки register_globals, а также возможность обхода кода безопасности CAPTCHA при регистрации.

Ошибка в версии: 9.7 и все более ранние версии

Степень опасности: Высокая при использовании включенной настройки register_globals, отсутствует при выполнении рекомендаций по отключению данной настройки в настройках сервера. Установка патча тем не менее обязательна для всех, т.к. патч устраняет возможный обход каптчи и другие проблемы.

Для исправления скачайте и скопируйте на свой сервер патч: dle97_path.zip (зеркало dle97_path.zip (16.1 Кб)), данный патч предназначен только для версии 9.7 скрипта.

Пользователи, использующие более ранние версии скрипта должны внести вручную следующие изменения в файлы скрипта:

1. Откройте файл engine/modules/sitelogin.php и найдите:

PHP Code:

$dle_login_hash = ""; 


Ниже добавьте:

PHP Code:

$_TIME = time () + ($config['date_adjust'] * 60); 


Далее в этом файле найдите:

PHP Code:

        if( $member_id['user_id'] ) { 


Ниже добавьте:

PHP Code:

            session_regenerate_id(); 


Далее в этом файле найдите:

PHP Code:

        $member_id = $db->super_query( "SELECT * FROM " . USERPREFIX . "_users WHERE user_id='" . intval( $_COOKIE['dle_user_id'] ) . "'" ); 


Ниже добавьте:

PHP Code:

            session_regenerate_id(); 


2. Откройте файл engine/init.php и найдите:

PHP Code:

    if (in_array ( $_POST['dlenewssortby'], $allowed_sort )) { 


Замените на:

PHP Code:

    if (in_array($_POST['dlenewssortby'], $allowed_sort) AND stripos($find_sort, "dle_sort_") === 0) { 


3. Откройте файл engine/modules/functions.php и найдите:

PHP Code:

    global $tpl; 


Ниже добавьте:

PHP Code:

    if (!class_exists('dle_template')) {
        return;
    } 


Источник dle-news.ru

Сколько помню DLE так практически в каждой версии есть такие критические дыры :(

Originally Posted by Serberg

$db->super_query(

Сорри за оффтом) Просто понравилось название обертки ООП)

Недостаточная фильтрация данных в парсере шаблонов

Проблема: Недостаточная фильтрация данных в парсере шаблонов.

Ошибка в версии: 9.7 и все более ранние версии

Степень опасности: Высокая

Для исправления скачайте и скопируйте на свой сервер патч, данный патч предназначен для всех версий скрипта.

Дистрибутив версии 9.7 обновлен.