[3.3] [CDB]Recent Topics NG

[IMC]

Der Commit V1.2.1-b2 ist online.

[LukeWCS]

Wegen Postgre, danke für die Infos Thorsten. Dann muss ich mal schauen, ob meine Exts auch irgendwo betroffen sind.

Der Commit V1.2.1-b2 ist online.

Habe ich eben in mein Dev TB übernommen. Dabei festgestellt, dass composer.json nicht aktualisiert war. Per Commit behoben.

[IMC]

Per Commit behoben.

Danke, hatte ich auch schon bemerkt und wollte es beim nächsten Commit beheben.
Da ist aber noch mehr. Unter anderem ein Typecast in der SQL-Abfrage. EC meldet eine Warnung wegen einer möglichen SQL-Injection durch einen String. Mache ich einen (string) Typecast, kommt keine Warnmeldung.

Code: Alles auswählen

'WHERE' => 'pd.post_id IN (' . (string) $this->db->sql_build_query('SELECT', $sql_array_first_post_ids) . ')',

Das andere sind nur Ergänzungen in den Docs. Den Commit mache ich in der nächsten Woche. Übers Wochenende bin ich offline/auf Achse.

[LukeWCS]

EC meldet eine Warnung wegen einer möglichen SQL-Injection durch einen String. Mache ich einen (string) Typecast, kommt keine Warnmeldung.

Das ist auch seltsam. Es kann ja gerade durch einen String eingebrochen werden, deswegen macht ein cast auf string eigentlich keinen Sinn, damit EPV das durchwinkt. Denn durch den cast ist keineswegs sichergestellt, dass die Variable dann keinen Schadcode mehr enthält.

[IMC]

Denn durch den cast ist keineswegs sichergestellt, dass die Variable dann keinen Schadcode mehr enthält.

Ich interpretiere das so:
Wenn der String einen cast hat geht EPV davon aus, dass der Entwickler bewust für einen sicheren String gesorgt hat.

v1.2.1-b3 ist online.
Wenn du nichts weiter hast würde ich am Wochenende ein Release machen und die Version bei .com einreichen.

[LukeWCS]

Wenn der String einen cast hat geht EPV davon aus, dass der Entwickler bewust für einen sicheren String gesorgt hat.

Das wäre dann aber pures Wunschdenken seitens EPV, kommt gleich nach Kaffeesatzleserei und Voodoo. Ich vermute, dass EPV zumindest speziell bei dieser Konstellation einfach ein bisschen zu simpel gestrickt ist und sich schon damit zufrieden gibt, dass ein CAST vorhanden ist.

Wenn du nichts weiter hast würde ich am Wochenende ein Release machen und die Version bei .com einreichen.

Alles klar. Ich habe nichts aktuelles.

[IMC]

Das Release v1.2.1 wurde auf Github erstellt und zu Validierung bei .com eingereicht.

Änderungen:
Ein fataler Fehler bei der Nutzung von PostgreSQL Datenbanken wurde beseitigt.
Die Funktion zum Anzeigen der Anzahl der ungelesene Beiträge im Tooltip des Thementitels wurde entfernt. Diese Funktion ist in meine Erweiterung "Number of Unread Posts" ausgelagert.

[IMC]

Hi Patrick,

durch eine Fehlermelung bei RT habe ich festgestellt das wir ebenfalls einen Fehler aus dem Prosilver Style übenommen haben.

Code: Alles auswählen

  D:\xampp\htdocs\xxxx_3-3-17\styles\prosilver\template\forumlist_body.html (2 Treffer)
	Zeile 100: 									<a href="{forumrow.U_LAST_POST}" title="{L_VIEW_LATEST_POST}">
	Zeile 101: 										<i class="icon fa-external-link-square fa-fw icon-lightgray icon-md" aria-hidden="true"></i><span class="sr-only">{L_VIEW_LATEST_POST}</span>
  D:\xampp\htdocs\xxxx_3-3-17\styles\prosilver\template\search_results.html (1 Treffer)
	Zeile 151: 									<i class="icon fa-external-link-square fa-fw icon-lightgray icon-md" aria-hidden="true"></i><span class="sr-only">{VIEW_LATEST_POST}</span>
  D:\xampp\htdocs\xxxx_3-3-17\styles\prosilver\template\ucp_main_bookmarks.html (1 Treffer)
	Zeile  85: 						<i class="icon fa-external-link-square fa-fw icon-lightgray icon-md" aria-hidden="true"></i><span class="sr-only">{VIEW_LATEST_POST}</span>
  D:\xampp\htdocs\xxxx_3-3-17\styles\prosilver\template\ucp_main_front.html (1 Treffer)
	Zeile 53: 							<i class="icon fa-external-link-square fa-fw icon-lightgray icon-md" aria-hidden="true"></i><span class="sr-only">{VIEW_LATEST_POST}</span>
  D:\xampp\htdocs\xxxx_3-3-17\styles\prosilver\template\ucp_main_subscribed.html (2 Treffer)
	Zeile  42: 								<i class="icon fa-external-link-square fa-fw icon-lightgray icon-md" aria-hidden="true"></i><span class="sr-only">{VIEW_LATEST_POST}</span>
	Zeile 127: 						<i class="icon fa-external-link-square fa-fw icon-lightgray icon-md" aria-hidden="true"></i><span class="sr-only">{VIEW_LATEST_POST}</span>
  D:\xampp\htdocs\xxxx_3-3-17\styles\prosilver\template\viewforum_body.html (1 Treffer)

Es geht um diese Codestelle <span class="sr-only">{L_VIEW_LATEST_POST}</span> für Screenreader.
Während VIEW_LATEST_POST in der forumlist_body.html noch als Sprachvariable definiert wurde, ist diese in den anderen Templatedateien nur als einfache Variable definiert und kommt somit nicht zur Anzeige.

Diesen Fehler haben wir ebenfalls in unserem Template. Ich erzeuge gleich einen neuen dev Branch und mache einen Commit mit einem Fix.

[LukeWCS]

Hi Thorsten

Manchmal kommt man sich weniger wie ein Programmierer, sondern eher wie ein Archäologe vor. Hast also doch noch antiken Template Code in unserem HTML entdeckt. Wir hatten es ja erst vor "kurzem" davon:

ich dachte wir hätten den ganzen alten Kram entsorgt.

Ich bin mir fast sicher, dass wir jetzt zu 100 % Twig-Code haben.

Wobei das jetzt quasi nur ein nicht konvertierter Variablennamen war, denn unser Code selber ist ja auch an der besagten Stelle bereits sauberes Twig, wie ich gerade sah. Das Problem haben wir demnach in 2 Templates laut Volltextsuche im lokalen TB, wo also die Twig Funktion lang() fehlt.

durch eine Fehlermelung bei RT habe ich festgestellt das wir ebenfalls einen Fehler aus dem Prosilver Style übenommen haben.

Das sind ja etliche Stellen, ist aber wohl dennoch bisher keinem aufgefallen, dass es diese "tote" Template Variable in gleich mehreren Templates gibt. Am Rande, in welcher Situation hast du denn eine Fehlermeldung diesbezüglich bekommen?

Während VIEW_LATEST_POST in der forumlist_body.html noch als Sprachvariable definiert wurde, ist diese in den anderen Templatedateien nur als einfache Variable definiert und kommt somit nicht zur Anzeige.

Und da der Twig Interpreter eine nicht existente TPL Variable robust mit ?? '' behandelt, ist der Fehler bisher nie bei prosilver direkt bemerkt worden.

[IMC]

Am Rande, in welcher Situation hast du denn eine Fehlermeldung diesbezüglich bekommen?

Ich hatte mal wieder das Gefühl, schauen zu müssen, was andere so machen, und bin dann auf diesen Pull Request gestossen.
https://github.com/avatharbe/RecentTopics/pull/192