[3.3] [CDB]Recent Topics NG

[IMC]

Der Commit V1.2.1-b2 ist online.

[LukeWCS]

Wegen Postgre, danke für die Infos Thorsten. Dann muss ich mal schauen, ob meine Exts auch irgendwo betroffen sind.

Der Commit V1.2.1-b2 ist online.

Habe ich eben in mein Dev TB übernommen. Dabei festgestellt, dass composer.json nicht aktualisiert war. Per Commit behoben.

[IMC]

Per Commit behoben.

Danke, hatte ich auch schon bemerkt und wollte es beim nächsten Commit beheben.
Da ist aber noch mehr. Unter anderem ein Typecast in der SQL-Abfrage. EC meldet eine Warnung wegen einer möglichen SQL-Injection durch einen String. Mache ich einen (string) Typecast, kommt keine Warnmeldung.

Code: Alles auswählen

'WHERE' => 'pd.post_id IN (' . (string) $this->db->sql_build_query('SELECT', $sql_array_first_post_ids) . ')',

Das andere sind nur Ergänzungen in den Docs. Den Commit mache ich in der nächsten Woche. Übers Wochenende bin ich offline/auf Achse.

[LukeWCS]

EC meldet eine Warnung wegen einer möglichen SQL-Injection durch einen String. Mache ich einen (string) Typecast, kommt keine Warnmeldung.

Das ist auch seltsam. Es kann ja gerade durch einen String eingebrochen werden, deswegen macht ein cast auf string eigentlich keinen Sinn, damit EPV das durchwinkt. Denn durch den cast ist keineswegs sichergestellt, dass die Variable dann keinen Schadcode mehr enthält.

[IMC]

Denn durch den cast ist keineswegs sichergestellt, dass die Variable dann keinen Schadcode mehr enthält.

Ich interpretiere das so:
Wenn der String einen cast hat geht EPV davon aus, dass der Entwickler bewust für einen sicheren String gesorgt hat.

v1.2.1-b3 ist online.
Wenn du nichts weiter hast würde ich am Wochenende ein Release machen und die Version bei .com einreichen.

[LukeWCS]

Wenn der String einen cast hat geht EPV davon aus, dass der Entwickler bewust für einen sicheren String gesorgt hat.

Das wäre dann aber pures Wunschdenken seitens EPV, kommt gleich nach Kaffeesatzleserei und Voodoo. Ich vermute, dass EPV zumindest speziell bei dieser Konstellation einfach ein bisschen zu simpel gestrickt ist und sich schon damit zufrieden gibt, dass ein CAST vorhanden ist.

Wenn du nichts weiter hast würde ich am Wochenende ein Release machen und die Version bei .com einreichen.

Alles klar. Ich habe nichts aktuelles.