Open Bug Bounty. Ne sapete qualcosa?

[Ford Perfect]

Magari hanno scoperto una falla sul forum e preso possesso dell'account di dieguito per spammare.

e non si prendevano quello di giggig poi?

[Dieguito]

Problema risolto ieri. Era un bug in un plugin che permette ai visitatori di scegliere la lingua del sito.

 

[Impostore]

Problema risolto ieri. Era un bug in un plugin che permette ai visitatori di scegliere la lingua del sito.

 

Magari l'unico plugin creato da te

Inviato dal mio ANE-LX1 utilizzando Tapatalk

[Orgrimmo]

Problema risolto ieri. Era un bug in un plugin che permette ai visitatori di scegliere la lingua del sito.

 

Hai quindi optato per eliminare la possibilità di scelta lasciando solo l'italico idioma?

[Dieguito]

Magari l'unico plugin creato da te

Inviato dal mio ANE-LX1 utilizzando Tapatalk

 

Hai quindi optato per eliminare la possibilità di scelta lasciando solo l'italico idioma?

No, il mitico Malte Muller ha immediatamente rilasciato la patch.

[Ford Perfect]

Problema risolto ieri. Era un bug in un plugin che permette ai visitatori di scegliere la lingua del sito.

 

roba legata all'autenticazione?

Hai quindi optato per eliminare la possibilità di scelta lasciando solo l'italico idioma?

no, solo la lingua originale

[Dieguito]

roba legata all'autenticazione?

No, è questo il bello. Mancava la sanitizzazione (html_encode) della stringa immessa nella barra degli indirizzi, che era nella riga di codice sbagliata. Se vuoi approfondire questo è il fix:
https://github.com/zenphoto/zenphoto/commit/8a0b0e35efd3e3801f7ee90d2c05348d5b49ef61

Questi sono i dettagli che mi ha mandato il SR:

the problem seems to be in HTML code line 268. Here the s= parameter of the URL is reflected unsanitized into the "href" parameter of the <a> tag.

Questa è la stringa che se aggiunta nella barra degli indirizzi dopo l'indirizzo della home, faceva comparire una finestra di dialogo sul mio sito:
?s=%22%3E%3Csvg%2Fonload%3Dconfirm(%2FOPENBUGBOUNTY%2F)%3E

[George Stobbart]

Ma ij mo vogl vede il sito

[Dieguito]

Ma ij mo vogl vede il sito

 
Poi ingaggi qualche hacker rumeno per cappottarmelo. 

[George Stobbart]

Poi ingaggi qualche hacker rumeno per cappottarmelo. 

[Ford Perfect]

No, è questo il bello. Mancava la sanitizzazione (html_encode) della stringa immessa nella barra degli indirizzi, che era nella riga di codice sbagliata. Se vuoi approfondire questo è il fix:
https://github.com/zenphoto/zenphoto/commit/8a0b0e35efd3e3801f7ee90d2c05348d5b49ef61

Questi sono i dettagli che mi ha mandato il SR:

the problem seems to be in HTML code line 268. Here the s= parameter of the URL is reflected unsanitized into the "href" parameter of the <a> tag.

Questa è la stringa che se aggiunta nella barra degli indirizzi dopo l'indirizzo della home, faceva comparire una finestra di dialogo sul mio sito:
?s=%22%3E%3Csvg%2Fonload%3Dconfirm(%2FOPENBUGBOUNTY%2F)%3E

va beh abbastanza fesso a finale, più distrazione che un vero bug, non credo ci potessero cavare fuori chissà che exploit ma si rischiava molto in immagine e credibilità se ti spammavano in giro per il mondo