Template CMS 2.0 - маленькая и быстрая CMS! - стоимость 0$

Я же сказал что понимаю сказочность фразы, ладно, удачи Вам.. =)

Здраствуйте, мне вот кажется опасным использование такого кода, так как при определенных обстоятельствах, это может стать критической уязвимостью

admin/admin.php

    if(isset($_POST['login_submit'])) {

        // Sleep TEMPLATE_CMS_LOGIN_SLEEP seconds for blocking Brute Force Attacks

        sleep(TEMPLATE_CMS_LOGIN_SLEEP);

        // First check is user exists in /users/"login".xml

        if(file_exists(TEMPLATE_CMS_USERS_PATH.trim(post('login')).'.xml')) {

            // Get user XML data and extract data from it

            $user_xml = getXML(TEMPLATE_CMS_USERS_PATH.trim(post('login')).'.xml');

            $user_password = $user_xml->user_password;

            $user_role = $user_xml->user_role;

            // Now check password and user role

            if(trim($user_password) == encryptPassword(trim(post('password')))) {

                if($user_role == 'admin') {

                    $_SESSION['log'] = true;

                    $_SESSION['user'] = trim(post('login'));

                }

            }

        }        

    }

А если ваша CMS установлена на windows да еще и временная папка будет на том же разделе типа

D:/tmp/

Тогда злоумышленник может заслать на скрипт не полный пакет с файлом содержащим данные фальшивого админа с keep-alive:300 например , и пока держится соединение сбрутить его название в tmp, ибо на винде, маска идет tmpXXXX, а тем более, если найдет где то на соседях phpinfo(), тогда брут будет примерно 2-10 попыток ,и он уже в админке.

а вообще в свете последних изысканий на винде может и не брутить, а подрубить временный файл по паттерну.

Так что я думаю что надо не допускать данных вещей в коде, ведь иногда по закону подлости, тепличные сплоиты превращаются в боевые.

boodda

Спасибо за отзыв, но не уверен на счет этого так как с такой проблемой не сталкивался...

Также в системных требованиях указан UNIX/Linux host

p.s.

последняя версия этого файла тут:

http://code.google.com/p/templatecms/source/browse/trunk/admin/index.php от 5 февраля.

Код немного другой так так как в следующей сборке CMS будет многопользовательской :)

Release !

Полная новость: http://templatecms.webdevart.ru/news/6/Template-CMS-2-Release

Я пока сделал все боксовые плагины и вот эти 10 плагинов, что сейчас можно увидеть на этой странице http://templatecms.webdevart.ru/download/plugins

Есть желающие присоединится к разработке плагинов, тем оформления ?

По этим темам есть несколько доков: http://templatecms.webdevart.ru/docs

key_

тролль с ЛОР-а пологаю )))

key_, чем он лучше ютуба? :D

Template CMS 2.0.1

Новость на офф. сайте http://templatecms.webdevart.ru/news/7/Template-CMS-201

В этой версии пофиксин местами код и удален лишний. Улучшено сжатие CSS файлов, а так же добавлено сжатие шаблонов (Template.php).

Решена проблема с /minify/

Template CMS заботится про оптимизацию сайта

Новые плагины для Template CMS

Ckeditor

Этот редактор позволяет очень легко и удобно добавлять и редактировать различную информацию на сайте.

Imperavi

Популярный визуальный редактор на jQuery.

awilum, где можно шаблоны взять под Вашу цмс?