Riscontrato problema di sicurezza

[applevision]

Ciao,
ho scoperto (a mie spese) una falla di sicurezza di OSCommerce.
Esiste una pagina senza controllo di sessione che consente, tramite POST, di caricare un files sul server.
Caricando un file che consente la gestione di files, si può fare ciò che si vuole nel malcapitato sito peraltro in maniera piuttosto semplice.
Ora, ditemi se proseguire con la descrizione, non vorrei segnalare la cosa a persone malintenzionate che si potrebbero divertire tranquillamente a "bucherellare" i ns. shops. In alternativa lo posto agli amministratori in privato per poter approfondire il problema.

[marcus]

Ciao,
ho scoperto (a mie spese) una falla di sicurezza di OSCommerce.
Esiste una pagina senza controllo di sessione che consente, tramite POST, di caricare un files sul server.
Caricando un file che consente la gestione di files, si può fare ciò che si vuole nel malcapitato sito peraltro in maniera piuttosto semplice.
Ora, ditemi se proseguire con la descrizione, non vorrei segnalare la cosa a persone malintenzionate che si potrebbero divertire tranquillamente a "bucherellare" i ns. shops. In alternativa lo posto agli amministratori in privato per poter approfondire il problema.

Inviami i dettagli in Pm .

Nel caso sia necessario metteremo un post in rilievo con dettagli e fix allegato.

Saluti
Marcus

[hsg26]

Un altro buon motivo per usare FCK editor messo in evidenza cmq... grazie marcus!

[vampire]

Un altro buon motivo per usare FCK editor messo in evidenza cmq... grazie marcus!

nn ho capito ma il bug sta su osc o sull'editor installato? in tal caso hsg26 puoi spiegarmi meglio la cosa in pvt se non è un disturbo?

Grazie

[marcus]

Un altro buon motivo per usare FCK editor messo in evidenza cmq... grazie marcus!

nn ho capito ma il bug sta su osc o sull'editor installato? in tal caso hsg26 puoi spiegarmi meglio la cosa in pvt se non è un disturbo?

Grazie

Il problema è imputabile alla contrib htmlarea e non al codice originale di osCommerce. Al momento non sono stati rilevati bug analoghi con altri editor Web quali FCK o TinyMCE.



Saluti
Marcus

[vampire]

grazie marcus