phpBB.de

Hier könnt ihr eure Meinung zu phpBB 2.0.13 erschienen abgeben.

Soeben wurde ein kritisches Update veröffentlicht. Jeder Forumbetreiber sollte sofort updaten.

Zum einen wurde eine Lücke in der session.php geschlossen, die es jedem Benutzer ermöglicht, Administrator zu werden:

Öffne includes/sessions.php

Finde:

Code: Alles auswählen

if( $sessiondata['autologinid'] == $auto_login_key )

Ersetze durch:

Code: Alles auswählen

if( $sessiondata['autologinid'] === $auto_login_key )

Außerdem wurde ein kleiner Schönheitsfehler in der viewtopic.php gefixt:

Öffne viewtopic.php

Finde:

Code: Alles auswählen

$message = str_replace('\"', '"', substr(preg_replace('#(\>(((?>([^><]+|(?R)))*)\<))#se', "preg_replace('#\b(" . $highlight_match . ")\b#i', '<span style=\"color:#" . $theme['fontcolor3'] . "\"><b>\\\\1</b></span>', '\\0')", '>' . $message . '<'), 1, -1));

Ersetze durch:

Code: Alles auswählen

$message = str_replace('\"', '"', substr(@preg_replace('#(\>(((?>([^><]+|(?R)))*)\<))#se', "@preg_replace('#\b(" . $highlight_match . ")\b#i', '<span style=\"color:#" . $theme['fontcolor3'] . "\"><b>\\\\1</b></span>', '\\0')", '>' . $message . '<'), 1, -1));

Es hatte sich ein Fehler in die Update-Beschreibung von phpBB.com eingeschlichen, den ich blind übernommen hatte: Für den Updateteil in der viewtopic.php fehlten ein paar " und \ Oben nun die korrigierte Fassung.

Es kam die Frage auf, was im session.php-Teil das dreifache Gleichheistzeichen bedeutet.

In PHP gibt es zwei Arten, Variablen zu vergleichen. Zunächst mit ==. Damit prüft man, ob der Inhalt zweier Variablen der gleiche ist. Manchmal reicht das nicht, und man vergleicht mit ===. So stellt man fest, ob nicht nur der Inhalt, sondern auch der Typ Variablen der gleiche ist.

Siehe auch: http://de.php.net/manual/de/language.op ... arison.php

Update der Versionsnummer.

Wer mit den beiden Fixes im ersten Posting arbeitet, der muss die Versionsnummer von phpBB manuell in der Datenbank ändern. In phpMyAdmin oder einem anderen Tool einfach diese Query eingeben und das wars. Eventuell muss man dazu den Namen der Tabelle ändern, je nach der Einstellung $table_prefix aus der config.php
Wer eines der Pakete der Downloadseite benutzt, macht das wie gewohnt mit dem Update-Skript.