MasterCat. Скрипт каталога от разработчиков.

Ваши фразы вроде

, несомненно, свидетельствуют о высочайшей Вашей культуре ведения конкурентной борьбы :)

Бизнесмены...

Я то? Не... 😂 Мне за этот тест не заплатят. Но если внимательно прочитать весь топик то ошибок набирается изрядное количество.

Звучит неправдоподобно... Постоянно пытетесь 'съехать' — не забывайте в топике обсуждается ваш чудо скрипт... Вот вас вставило 😂 А как это увязать с такими мудрыми словами?Вот и не будем переходить. ;)

Ну не надо бросаться словами - уже даже не смешно.... :)

Не удивляйтесь... Какой он вам конкурент? У вас замечательный скрипт и бесплатно... А у него денег стоит. 😂

Аналогично, много раз улыбнулся.

Не удивлюсь... Разные так разные. :)

Ярик на заборе тоже написанно... но это вовсе не значит, что за забором именно это :)

Я привык описывать факты, именно поэтому и приложил урл, возможно иногда в ярких красках, но все же ... :)

psyloss же понабрал всего с потолка, даже не поюзав скрипт.

Я именно это имел ввиду под конкурентной борьбой.

Так и я про тоже... 😂 Вы так красиво про свой скрипт написали — «продукт в разы превосходящий существующие аналоги» — но это вовсе не значит, что он что-то превосходит. ;)

Где они эти факты? Про лавочку 'васи пупкина' вы написали...

А вот это - как-то подтвердить можно? ;) Или верить на слово?

Рассматривайте как Вам заблагорассудится.

Опять говорите неправду :(

Была жалкая попытка устранения ошибки, всего лишь...

Ошибка же, как была, так и осталась:

http://www.m-cat.ru/page.php?id=47&tmpl=....//index.php

Следующая строка:

			if (strstr($_REQUEST['tmpl'],'../')){$_REQUEST['tmpl'] = str_replace('../','',$_REQUEST['tmpl']);}

по сути до заднего места.

Продолжаю:

http://www.m-cat.ru/edit_link.php?edit_link=1&lid=63&title=dkameleon&short_description=unauthorized%20editing&full_description=demonstration%20for%20SE%20demonstration%20for%20SE%20demonstration%20for%20SE%20&email=spam@dkameleon.com&url=dkameleon.com

Результат:

http://www.m-cat.ru/page.php?id=63

Правка ссылок со стороны пользователя без какой либо авторизации.

Любителям Фентермина Ваш движок очень понравится :)))

dkameleon еще раз спасибо за указанные дырки, скоро они будут исправленны.

У нас есть еще пара тройка проэктов, не хоти те ли потестить и их ? :D

А вообще я конечно не программер, но думаю если поискать, дыру можно найти в любом продукте, чего стоят только Гейтовские Окна :) И сколько бы мы не матерились на винды, а все равно их юзаем.

Надеюсь мнительные личности не увидят в этом примере сравнения нашего скромного скрипта с виндами ? :)

Так что в нашем деле главное желание работать над ошибками и улучшать прграмму.

Как только предложите соответствующую оплату и условия.

ПС. Очень плохо, что имея команду из 2 человек вы не можете даже толком оттестировать свой проект.

Ошибки подправил, спасибо.

Думаю так будет лучше

if (isset($_REQUEST['tmpl'])){

	eregi('^[a-z0-1\.\-\_]+$',$_REQUEST['tmpl'],$match);

	if (!empty($match[0])) {$params['template'] = $match[0];}

	else {$params['template'] = 'site_page.htm';}

} else {$params['template'] = 'site_page.htm';}

Времени на это как всегда нет. Да и чем бетатест не тест? )

Кстати таким макаром как вы ломанули редактирование можно ломать многие скрипты. Многие конечно используют $_POST вместо $_REQUEST, но это тоже не решение. POST данные легко отправить не из формы. Я так регистрировал домены на www.nic.ru

Да об этом я не подумал, признаю...

P.S. Может быть я и преувеличил, описывая свою работу как в разы превосходящую, но уж точно не отступлю и добьюсь этого. И лучший способ для этого, это открытое тестирование. Ещё раз повторяю, это не готовый продукт, и мы не берем за него деньги, пока.

За активную помошь в тестировании, платная версия с улучшеным, а также дополнительным функционалом, будет предоставляться бесплатно 🚬

грязный код: дублирование, лишние операторы, убогое форматирование.