

                    xoops 2.0.9  newbb ѥå v1.00



Xoops 2.0.9 Ѥ newbb ˤä XSS кѥåǡ
HTML ̵ˤ
ư䡢ץӥ塼Υե HTML /ԵȽʤɤ
ʤäƤޤޤ
ե뤿ΥѥåǤ

ѥåо
ץӥ塼 allow_html ȽεžΥХν
allow_html Ļ¸ disable html(no html) Ƚ꤬žƤ
Хν

ȼ˴ؤꥹ
xoops 2.0.9 newbb ưοʥХ򤷤Ƥޤޤ󥸥
Υɤä֤󶯸ǤˤʤäƤȻפޤ
2.0.9 ʤΤϾ嵭ưɤǡưɤȼ˷Ҥ뤫
Ȥ˴ؤƤϡץӥ塼Υꥹȯս꤬žƤȤ
ˤʤޤʲ

2.0.8 ... allow_html ԵĤǤäƤ XSS Ƥǽʼ礿ꥹ
            allow_html ԵĤǤХץӥ塼 html ͭǤʥꥹ
            allow_html ĤǤХץӥ塼 html ͭǤʥꥹ

2.0.9 ... allow_html ԵĤǤ XSS ƤԲǽ
            allow_html ԵĤǤХץӥ塼 html ͭʥꥹˤ
            allow_html ĤǤХץӥ塼 html ̵ˡȽž

patch ... allow_html ԵĤǤ XSS ƤԲǽƱ͡
            allow_html ԵĤǤХץӥ塼 html ̵
            allow_html ĤǤХץӥ塼 html ͭʥꥹˤ

Ŭˡ
newbb/post.php 
class/class.forumposts.php 񤭤Ƥ

class 񤭤ʤͤϡġ
html ߤưˤΤǥ᥽åɤɲäΤǤ軰ԤΥѥ
 class ޤǤꤿʤȤͤϡ
post.php 161 ԤΡ

// patching
if (empty($HTTP_POST_VARS['nohtml']) && $forumdata['allow_html']) {
	// $forumpost->setNohtml(0);
	$forumpost->setDoHtml();
} else {
	//$forumpost->setNohtml(1);
	$forumpost->unsetDoHtml();
}

ΥȥȤ򳰤ʤɤơΤ褦˽񤭴Ƥ

// patching
if (empty($HTTP_POST_VARS['nohtml']) && $forumdata['allow_html']) {
	$forumpost->setNohtml(0);
} else {
	$forumpost->setNohtml(1);
}

 post.php ˴뤷ޤ

Ϣ
ʬμ긵ǳǧƤߤޤưɤʤɤС
minahito@users.sourceforge.jp
ޤǸϢ

ռ
夲Ƥä okuhiki  Sting_Band ˿
ޤ
ޤԴʥѥåƤƤǤ򤪤Ȥͤӿ夲ޤ
