Archives FluxBB.fr

Trent

Membre

Faille de sécurité dans punBB

Salut,

J'ai constaté une faille de sécurité dans punBB sur opera-fr.com, toutefois je ne sais pas si il utilise la dernière version de punBB ni quel « mods » sont installés,  je viens donc résumé le problème ici :

Si l'on met du HTML dans le titre d'un message, il n'y a aucun htmlentities ou de choses de ce genre lors de son affichage sur la page d'accueil, voici un screen explicatif :

http://files.myopera.com/ra_mon/albums/ … _punbb.png
le titre du méssage était « problème <input type="file">

Vous comprendrez que c'est un problème très important, si l'on met une redirection javascript récupérant les cookies, vol de comptes possibles par exemple.

Je ne savait pas ou poster le problème, je n'ai vu aucune catégorie à ce propos sur le site (punbb.fr), et je l'ai donc posté ici, en grande partie égalemenet car je ne sais pas si cela est provoqué par une vielle version, un mods, etc...

Merci
Trent.

Dernière modification par Trent (10-01-2008 19:14:08)

dahousemix

Membre

Re : Faille de sécurité dans punBB

C'est parce qu'un mod est installé, c'est le MOD qui a créé cette faille. (Peut être la mauvaise installation de celui-ci aussi).

PascL

Membre

Re : Faille de sécurité dans punBB

Par défaut, le titre du sujet n'est pas affiché sur l'index, donc c'est une modif à eux.

Edit : En fait, c'est sur le wiki ici que le problème se trouve

Dernière modification par PascL (10-01-2008 19:26:17)

---

Bouh !
StarShip Renaissance

Trent

Membre

Re : Faille de sécurité dans punBB

Par défaut, le titre du sujet n'est pas affiché sur l'index, donc c'est une modif à eux.

Moui j'ai remarqué cela, mais est-ce inclu dans punBB de pouvoir le faire ou est-ce un mods ? Car dans le second cas, il faudra avertir les dév du mods...

PascL

Membre

Re : Faille de sécurité dans punBB

J'ai modifié le wiki en ajoutant un pun_htmlspecialchars : http://www.punbb.fr/aide/doku.php/astuc … dex_forums

Dernière modification par PascL (10-01-2008 19:32:13)

---

Bouh !
StarShip Renaissance

Trent

Membre

Re : Faille de sécurité dans punBB

Ravi d'avoir été utile
Trent.

TLP

Membre

Re : Faille de sécurité dans punBB

Bonjour,

Lorsque vous pensez avoir découvert une faille, il serait souhaitable de ne pas l'expliquer au public, mais de contacter les auteurs du forum / mods directement par courriel.