2.0.8: Sicherheitsfix für privmsg.php

[Markus67]

Hi ...

was für einen Eintrag ?

Markus

[Olfri]

Ich benutze das phpBB 2.0.8 im Rahmen eines Nuke-Systems. Kann mir vielleicht einer sagen, wo sich da diese php befindet??? Ich muss doch bestimmt auch updaten...

Danke schonmal,
liebe Grüße
Florian

[Markus67]

Hi ...

Keine Ahnung wie das in einem Nuke aussieht ...

Aber in einem Standard phpBB findest du die Datei privmsg.php direkt im Forumroot ...

Markus

[yks]

hallo,

könnte man die änderung auch bei einem 2.0.6er board machen ?
oder greift dieses hier (s.u.) zu sehr in die foren-eingeweiden ein ?

In der privmsg.php ist ein Fehler, der es einem böswilligen Benutzer unter bestimmten Bedingungen ermöglicht, SQL-Befehle zu manipulieren oder zu ändern. Um dieses Problem zu beseitigen, führt bitte folgende Änderung an der privmsg.php durch:

Sucht nachCode:

Code: Alles auswählen

         $pm_sql_user .= "AND ( ( pm.privmsgs_to_userid = " . $userdata['user_id'] . " 

und ersetzt es durchCode:

Code: Alles auswählen

         $pm_sql_user = "AND ( ( pm.privmsgs_to_userid = " . $userdata['user_id'] . " 

(Hinweis: die einzige Änderung besteht in der Entfernung des Punktes nach $pm_sql_user)

Von diesem Fix können auch ältere Versionen von phpBB betroffen sein, es ist daher zu empfehlen, auf die aktuelle Version von phpBB upzudaten und die oben genannte Änderung durchzuführen.
Die englische Version (2.0.8a) ist in der Zwischenzeit korrigiert, die deutsche folgt.

also zunächst ohne update, nur den fehler patchen ?

viele grüße, yks

[PhilippK]

Es sollte auch mit 2.0.6 gehen - allerdings bleiben damit zig andere Löcher offen.

Gruß, Philipp

[yks]

vielen dank *auf update noch seelisch vorbereite

[Jascha]

Soll ich Euch mal was witziges erzählen?
Ich hab ver2.0.8 und das ist definitiv KEIN Punkt in der Line vorhanden? (bzw. mehrere Lines in cases inbox,outbox,sentbox,savebox)

Wie kommts?