WHCMS уязвимость от 18 октября

Да, видимо в этом проблема. У меня когда повторно проверил уже показывает последнюю версию. Похоже с кеша бралось...

GET запросы со всякими union, select, javascript и т.д. можно ограничить на уровне nginx. Не сложно.

POST при желании можно в декодированном конфиге ограничить.

А права 400 (без права записи) никто еще не отменял.

Мдя уж, ну и выходные :D

А разве есть такое? Что то я не припоминаю ;)

Ну че, у меня иногда все работает нормально :D :D :D

Пока работает, можно сачковать, но это не выходные, а ожидание проблем, фактически вечный режим караула :)

Попробуйте поработать посменно ☝

это не ерунда, у кого ресурсы для этого есть - многие так делают.

WHMCS особенно если взять прошлый случай (просто взяли и забыли заэскейпить полученные данные), такие ошибки в таких местах проекта просто смешны, это говорит о некомпетентности ихних разработчиков и экономии средств на аудите.

тогда я уже не знаю что думать о CSRF и XSS.

---------- Добавлено 19.10.2013 в 23:36 ----------

это все костыли что не есть красиво, если продукт низкого качества то это не поможет.

данную фильтрацию можно обойти как минимум 3 способами:

вставить коммент прямо в оператор.

разбить оператор на 2 составляющие.

перевести оператор в ASCII

Ерунда о супер програмистах, а не о своём билинге. Я не сказал что плохо делать свой, но с другой стороны я общался на эту тему с своими хорошими друзьями програмистами (которые за хорошие бабки экспортируют свои возможности по всему миру) и описал задание что мне надо, указав пример этих функций в WHMCS. Так как мне нужен функционал на много меньше того что может WHMCS, надеялся на 2-3К € (это где то 3-4 года тому назад). Но в ответ получил цыфру от 20K евро, около года разработка и плюс поддержка (цена как другу). И там ещё за отдельную цену можно оговаривать собственность кода, за указанную цену код не мой. Для таких сошек как я, вы и тому подобное это просто бред, извините за прямоту ;)

Дайте свой билинг взломщикам которые ломают WHMS, и вот тогда расказывайте сказки. После просмотра кода думаю в течении 30 минут взломают любой билинг тех которые громко кричат...

Сами себя показываете как крутого програмиста, администратора, и специалиста на все руки, так предложите свои услуги Matt'у и забудете о всех проблемах хостинга. Уверен он может себе разрешить действительно дорогих програмистов. Если я был бы програмистом, не занимался хостингом, а предлагал услуги програмирования. Стать могу, Фортран4 когда то освоил, но для пхп уже слишком стар ;)

WHMS горе, но лучше просто нету..... Есть множество способов, как администратор сервера может закрыть возможность использования практически любых дырок.

Касательно оперативности решения проблем, то она у WHMCS на высоте.

P.S. Den73, если уж на то пошло, то почему используете на своём проекте бесплатный Joonte?

Он его сам и пишет.