LINUX.ORG.RU
Новости — Безопасность  

Переполнение буфера в PHP HTML Entity Encoder


0

0

Затронуты версии РНР до 5.1.6 и 4.4.4 включительно. Переполнение буфера в функциях htmlentities() и htmlspecialchars() может привести к удаленному выполнению кода(експлоита нет). Выпущена версия PHP 5.2.0, которая устраняет уязвимость.

Уязвимость признана критической, так как указанные функции широко используются для защиты от XSS. Переполнение буфера может быть спровоцировано при использовании UTF-8.

>>> Подробности

 ← 1 2 →
Ответ на: комментарий от annonymous

>Задач никаких не решает, проблемы добавляет.

Расскажи об этом лору. Или ты уже можешь любой символ ввести?

r ★★★★★
()
Ответ на: комментарий от r

Что конкретно рассказать лору? koi8-r у него, насколько я вижу. Какой
символ я не могу ввести? Ни разу с такой проблемой не сталкивался.

annonymous ★★
()
Ответ на: комментарий от Cris

>потом что многие используют эту функцию для обработки этих данных перед скормлением их базе данных.

И нахуа? Никогда не понимал такого извращения.

KRoN73 ★★★★★
()
Ответ на: комментарий от annonymous

>Что конкретно рассказать лору? koi8-r у него, насколько я вижу. Какой символ я не могу ввести? Ни разу с такой проблемой не сталкивался.

Гы. Ещё один с встроенным в мозг энкодером html-сущностей.

Вот тебе «типичный пример ·ЛОРовской новсти.» №×1, так сказать.

KRoN73 ★★★★★
()
Ответ на: комментарий от KRoN73

> Вот тебе «типичный пример ·ЛОРовской новсти

Во, умник, блин, нарисовался. А если мозгом раскинуть чуть-чуть? При чём тут кодировка ЛОРа? Это ж обычная конвертация спецсимволов с целью не допустить в тексте html. Грубо. конечно, но это вопрос не к кодировке, а к песателям лоровского движка.

annonymous ★★
()
Ответ на: комментарий от WFrag

Ишо один. Предлагаю скопировать приведённый пример в файл и открыть
любым браузером в любой(!) кодировке. Вопросы сами отпадут. Кавычки
и номер будут корректно показываться (о ужас!) даже в 7-битной US-ASCII.
Вам домашнее задание: выяснить, почему они показываются независимо от
кодировки.

annonymous ★★
()

Чёт мало нафлудили =) Кстати рекомендую всем кто в танке всё таки почитать что такое "Suhosin-Patch" и "Suhosin Extension" которое есть сейчас во всех версиях PHP (в freebsd из портов по умолчанию включается) и почему для тех у кого это дело установлено подобные новости по барабану.

gloomdemon ★
()
Ответ на: комментарий от annonymous

>Искать что? Кавычки?

Умляуты. Ё. Всякую диакритику. Математику. И это только то, что в Росси может понадобиться. А есть ещё всякие китайцы с евреями. На ЛОРе мир не кончается :)

KRoN73 ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
 ← 1 2 →
Безопасность