Леонид Каганов: дневник

Уязвимость только для многопользовательского движка в публичном режиме — пока у нас, насколько мне известно, он один такой инсталлирован (с опцией в конфиге $mnogouser=1;), называется binoniq.net ;)

Так вот — по моему упущению там все-таки, оказывается, довольно долго имелись в доступе некоторые модули, которых у простого пользователя быть не должно. Ну, то есть, до революции с системой авторизации год назад опасны были почти все модули, которые позволяли пользователю рисовать свой HTML и JS. А после введения нашей революционной авторизации я на этот счет совсем расслабился и все модули разрешил. И забыл, что у нас есть ровно один модуль, который разрешать кому попало совсем нельзя — PHPEVAL. Потому что он рисует не пользовательский HTML и JS, а исполняет самый настоящий пользовательский PHP:

{_PHPEVAL:
...любой PHP-код...
$o='и что по итогу напечатать';
_}

Какое счастье, что про этот модуль никто не вспомнил и не попробовал с ним поиграться! ;)

Исправил: теперь модуль исполняет произвольный PHP-код только для корневого аккаунта. Который админу принадлежит. Но согласитесь, феерическая дыра была, просто небывалая. Верно? ;)