Il team di sviluppo Coppermine rilascia un aggiornamento di sicurezza per colmare una vulnerabilità recentemente scoperta. E' importante che tutti gli utenti della versione 1.4.21 o precedenti aggiornino all'ultima versione al più presto.
Come aggiornare:
Gli utenti di versioni precedenti alla 1.4.22 dovranno aggiornare immediatamentescaricando (http://downloads.sourceforge.net/coppermine/cpg1.4.22.zip) l'ultima versione dalla pagina download (http://sourceforge.net/project/showfiles.php?group_id=89658) e seguendo la documentazione al riguardo (http://coppermine.svn.sourceforge.net/viewvc/coppermine/trunk/cpg1.4.x/docs/index.htm#upgrade).
Per coloro i quali desiderino applicare unicamente un fix manuale alla propria installazione Coppermine, aprite
docs/showdoc.php e rimpiazzate:
// harden against expolits: check the requested vars, replace illegal chars
$file = stripslashes($file);
$forbidden_chars = array("..", "/", "%", "<", ">", "$", "'", '"');
$file = str_replace($forbidden_chars, '', $file);con le seguenti linee di codice:
// harden against expolits: check the requested vars, replace illegal chars
$file = stripslashes($file);
$forbidden_chars = array("..", "/", "%", "<", ">", "$", "'", '"');
$file = str_replace($forbidden_chars, '', $file);
$add_stylesheet = str_replace($forbidden_chars, '', $add_stylesheet);Supporto:
Se incontrate problemi con questo aggiornamento, utilizzate il forum di supporto Update (in inglese) (http://forum.coppermine-gallery.net/index.php?board=59.0) o questo stesso forum per chi non ha confidenza con l'inglese.
Perché di questo rilascio?Questo rilascio copre una possibile vulnerabilità recentemente scoperta che potrebbe permettere ad un utente di lanciare un attacco XSS (http://en.wikipedia.org/wiki/Cross-site_scripting) (thread in inglese (http://forum.coppermine-gallery.net/index.php/topic,59237.0.html)).
Inoltre, Coppermine 1.4.22 include altri fix non direttamente relativi alla sicurezza:
- Termine dei ban temporanei erroneo a causa dell'ora non corretta
- Aumento della lunghezza massima delle password da 8 a 25 caratteri
Grazie a Gerendi Sandor Attila (http://forum.coppermine-gallery.net/index.php?action=profile;u=66021) che ha scoperto la vulnerabilità e aNibbler (http://forum.coppermine-gallery.net/index.php?action=profile;u=941) per aver codificato il fix.
grazie,
The Coppermine Team
Come sempre, gli utenti del Modpack di Stramm dovranno, per il momento, limitarsi ad applicare il fix manuale in attesa del rilascio della nuova versione.
Modpack 1.4.22 disponibile QUI (http://stramm.st.funpic.org/displayimage.php?pos=-697)