Aggiornamento sicurezza cpg1.4.13 - upgrade obbligatorio

[Davide Renda]

Coppermine 1.4.13 - aggiornamento di sicurezza

Il team di sviluppo ha rilasciato un aggiornamento di sicurezza per riparare ad una possibile vulnerabilità di cross-site-scripting. È importante che tutti gli utenti che utilizzano la versione 1.4.12 o una precedente di aggiornare al più presto.

Per correggere manualmente il problema, si possono anche seguire le indicazioni a seguire. Vogliate notare che il fix manuale del problema, riparerà la falla di sicurezza, ma non si dovrà sostituire ad un aggiornamento, in quante altre svariate modifiche non relative alla sicurezza sono presenti nel nuovo pacchetto.

Fix manuale (non raccomandato):
Aprite il file include/init.inc.php con un editor di testo, trovate

Code Select Expand

/**
* CPGPluginAPI::action('page_start',null)e aggiungete prima (in una nuova linea)

Code Select Expand

// If referer is set in URL and it contains 'http' or 'script' texts then set it to 'index.php' script
if (isset($_GET['referer'])) {
        if (preg_match('/((\%3C)|<)[^\n]+((\%3E)|>)|(.*http.*)|(.*script.*)/i', $_GET['referer'])) {
                $_GET['referer'] = 'index.php';
        }
}

Aprite il file viewlog.php, trovate

Code Select Expand

if (!isset($log)) {
        display_log_list();
} else {
               display_log($log);
}e rimpiazzatelo con

Code Select Expand

// If log variable not set or log file's directory is not current directory then display logs list else display log with given name stripping risky characters from it
if (!isset($log) || dirname($log) != '.') {
        display_log_list();
} else {
        display_log(ereg_replace('\.|/|%00', '', $log));
}

Un ringraziamento da parte del dev-team va all'utente L4teral che ha scovato la vulnerabilità ed ha permesso di trovare una soluzione rapida.

Link all'annuncio ufficiale (in inglese)

[Davide Renda]

Piccola nota a margine per gli utilizzatori del Modpack di Stramm. Al momento non è ancora stata preparata una versione 1.4.13 del Modpack: consigliamo di mettere in atto il fix manuale al più presto per coprire la possibile vulnerabilità della vostra galleria e tenete sotto controllo la sezione in inglese, presto dovrebbe essere rilasciata la nuova versione.
La versione 1.4.13 del Modpack è disponibile a questo link