phpBB.de

Verfasst: **26.11.2006 22:23**

Moin,

siehe http://www.securityfocus.com/archive/1/438862

gibt es hiergegen einen Fix damit jemand hier nicht diese Errors bekommt, außer dass man evtl. error_reporting ausstellen kann - was man ja nun nicht unbedingt möchte.

Danke an die Php Experten !

M.f.G
Friedhelm

Verfasst: **27.11.2006 17:49**

Diese verdammten Hacker.....

finde:

Code: Alles auswählen

$folder = htmlspecialchars($folder);

davor füge ein:

Code: Alles auswählen

if (is_array($folder)) $folder = '';

Analog die Sache mit dem mode.

Verfasst: **27.11.2006 23:32**

Schalte doch einfach die Warnmeldungen ganz ab:

Code: Alles auswählen

----- öffne -----
common.php

----- finde -----
error_reporting  (E_ERROR | E_WARNING | E_PARSE); // This will NOT report uninitialized variables

----- ersetze mit ----
error_reporting  (E_ERROR | E_PARSE); // This will NOT report uninitialized variables

Wenn Du mir jetzt noch sagst was daran so schlimm ist wenn der böse Cracker den vollen Pfad kennt...

Gruß Christian

Verfasst: **28.11.2006 08:21**

Wenn Du mir jetzt noch sagst was daran so schlimm ist wenn der böse Cracker den vollen Pfad kennt...

ein path disclosure per se ist erst einmal kein angriffsvektor, allerdings in verbindung mit anderen schwachstellen (ala remote code upload via sql-blind injection etc.) durchaus für angreifer interessant.
btw: imho sollte das error_reporting in produktiv systemen sowieso in eine entsprechende logdatei umgelenkt werden...

phpBB.de

Kleiner Fix hier gegen vom phpbb Team ?

Kleiner Fix hier gegen vom phpbb Team ?