Kleiner Fix hier gegen vom phpbb Team ?

[friedhelm]

Moin,

siehe http://www.securityfocus.com/archive/1/438862

gibt es hiergegen einen Fix damit jemand hier nicht diese Errors bekommt, außer dass man evtl. error_reporting ausstellen kann - was man ja nun nicht unbedingt möchte.

Danke an die Php Experten !

M.f.G
Friedhelm

[Miriam]

Diese verdammten Hacker.....

finde:

Code: Alles auswählen

$folder = htmlspecialchars($folder);

davor füge ein:

Code: Alles auswählen

if (is_array($folder)) $folder = '';

Analog die Sache mit dem mode.

[Christian_W]

Schalte doch einfach die Warnmeldungen ganz ab:

Code: Alles auswählen

----- öffne -----
common.php

----- finde -----
error_reporting  (E_ERROR | E_WARNING | E_PARSE); // This will NOT report uninitialized variables

----- ersetze mit ----
error_reporting  (E_ERROR | E_PARSE); // This will NOT report uninitialized variables

Wenn Du mir jetzt noch sagst was daran so schlimm ist wenn der böse Cracker den vollen Pfad kennt...

Gruß Christian

[larsneo]

Wenn Du mir jetzt noch sagst was daran so schlimm ist wenn der böse Cracker den vollen Pfad kennt...

ein path disclosure per se ist erst einmal kein angriffsvektor, allerdings in verbindung mit anderen schwachstellen (ala remote code upload via sql-blind injection etc.) durchaus für angreifer interessant.
btw: imho sollte das error_reporting in produktiv systemen sowieso in eine entsprechende logdatei umgelenkt werden...