Взлом DLE 11.2 и ниже (степень опасность высокая)

Раздел: DataLife Engine » Полезные статьи для DLE
Взлом DLE 11.2 и ниже (степень опасность высокая)

Внимание! В DataLife Engine найдена довольно серьезная уязвимость в версиях DLE 11.2 и ниже. Взлом DLE 11.2 и ниже (степень опасность высокая), позволяющая получить права админа на вашем сайте. Недостаточная фильтрация данных на DLE 11.2 и ниже, степень опасность определена, как высокая. При это разработчики вместо, того чтобы создать новую тему поступили подленько, вставили код в старой статье. Многие могли бы пропустить и по сути потерять данные сайта, где злоумышленник может удалять статьи и пользователей, ставить им рейтинги другие вещи, которые разрешены у вас на сайте администрации.



Проблема: Недостаточная фильтрация данных.

Ошибка в версии: DataLife Engine 11.2 и ниже

Степень опасности: Высокая

Далее откройте файл: /engine/ajax/typograf.php и найдите:

$txt = trim( convert_unicode( $_POST['txt'], $config['charset'] ) );


ниже добавьте:

require_once ENGINE_DIR . '/classes/parse.class.php';
$parse = new ParseFilter();
$txt = $parse->process( $txt );
$txt = preg_replace( "/javascript:/i", "jаvascript:", $txt );
$txt = preg_replace( "/data:/i", "dаta:", $txt );


Советуем сделать ещё, как описано здесь, вот так выглядела статья изначально.
<a href="http://www.dle9.com/">дле</a>



Но, как только появилась уязвимость в апреле 2017, разработчики к своего стыду просто дописали код в новость марта шестого числа (06.2017)
Внимание! У вас нет прав для просмотра скрытого текста.


Сложно мыло сообщить о новой уязвимости, подобные действия могут запутать людей, думая что они уже сделали защиту пропустить строчку ниже.
Внимание! В DataLife Engine найдена довольно серьезная уязвимость в версиях DLE 11.2 и ниже. Взлом DLE 11.2 и ниже (степень опасность высокая) вы найдете всё лучшее у нас форумы, хаки, модули, шаблоны.
  • 100
Рубрика: Все для DLE » Полезные статьи
Ранее » Недостаточная фильтрация данных DLE 11.2 и ниже« Далее Продвижение сайта на DLE
Добавление комментарияОставить комментарий
  • № :4
  • 25 апреля 2017 11:14
Цитата: nalex
Для версии ДЛЕ 11.3 это актуально?

нет, на 11.3 уже установлен патч, можете сами проверить и посмотреть
  • № :3
  • 25 апреля 2017 10:55
Для версии ДЛЕ 11.3 это актуально?
  • № :2
  • 11 апреля 2017 06:18
Цитата: 777sharpey777
Что это за иероглифы?
$txt = preg_replace( "/javascript:/i", "[u]jаvascript:[/u]&am
p;#34;, $txt );

чтобы JS-скрипты не сработали на HTML странице сайта при добавления данного слова, их в движке DLE преобразуют с "javascript": в такой код
$txt [u]jаvascript:[/u]&am
p;#34;, $txt );
добавляя теги оформления. Для защиты от взлома при использовании кода скрипта.
  • № :1
  • 11 апреля 2017 00:44
Что это за иероглифы?
$txt = preg_replace( "/javascript:/i", "[u]jаvascript:[/u]", $txt );