Критическая уязвимость в MODX Revolution

Проверка базы данных: Нет такого префикса таблиц в базе данных!

К примеру, здесь кто-то захочет найти статьи по запросу «xPDO update», и что ему выдавать?

Евгения Борисова, помню, в итоге вообще обматерили.
...

Ну, иначе высокое руководство не считало те дыры — дырами, и отмахивались, мол так и задумано.
Пришлось доказывать на их же сайте.

Кто хочет ощутить это на себе, может в комментах написать ссылку на сайт.

Да я вроде тоже не предлагал демонстрировать это на моих проектах, не правда ли?

а тут на противоположную.

P.S. И еще заповедь: не пускайте никого в админку, даже с самыми минимальными правами. Это практически 100% гарантия взлома при желании.

Но если ты считаешь, что я отмахнулся от проблемы и повёл себя как мудак — твоё право.

SELECT TABLE_NAME FROM information_schema.TABLES WHERE TABLE_NAME LIKE '%users'

Сам попробуй сломать сайт с кастомными префиксами.

$c = array_merge(range(0, 9), range('a', 'z'), ['-', '_', '.', '@'], range('A', 'Z'));
$p = 0;
//(SELECT IF(ORD(SUBSTRING(TABLE_SCHEMA,".$p.",1)) = '.ord($c).',1,9999999) FROM information_schema.TABLES WHERE TABLE_NAME LIKE '%users' LIMIT 0,1)

пошел, сломал, написал.

И, насколько я помню, Евгений еще далеко не всё показал. Не удивлюсь, если и про сегодняшний баг он давно в курсе, просто стимула рассказывать авторам MODX больше нет.

$modx->getObject('modResource', array(
    'modResource.id`IN (SELECT 1,1,1,1,1,1,1,1,1,1,1,1,1,1)#' => ''
));

А это что должно делать? Кроме возможности вставить подзапрос на выборку ничего не увидел

Кстати, если поиграться с запросом, можно даже такое получить: SQL injection attempt detected.

Хорошо, поверю тебе на слово, что можно в непроцедурный SQL воткнуть какую-то процедуру, чтобы весь перебор прошел на стороне сервера.

Это фишка xPDO.

Это фишка xPDO.

Тогда расходимся. Безопасность на высоте.

var_dump([
        isValidClause("SELECT 1 UNION SELECT IF(ORD(SUBSTRING(TABLE_SCHEMA,0,1)) = 0,1,9999999) FROM information_schema.TABLES WHERE TABLE_NAME LIKE '%users' LIMIT 0,1)"),
        isValidClause("SELECT 1 UNION/**/SELECT IF(ORD(SUBSTRING(TABLE_SCHEMA,0,1)) = 0,1,9999999) FROM information_schema.TABLES WHERE TABLE_NAME LIKE '%users' LIMIT 0,1)")
 ]);

Есть или была? Я проверял все процессоры на работу с файлами, они защищены. Но может что-то проморгал.

Спокойно спать можно если не делать сайты на MODX)).

А на чём? Ларавел?

Каждый выбирает сам. Свой путь я выбрал.

P.S.: Писать на Laravel приятно. Но куда девать любовь к MODX?

<?php $content = isset($content) ? Modx::mergeSnippets($content) : ''; ?>
@if( ! empty($content))
    <div class="contacts-form text-content" itemprop="articleBody">
        {!!  $content !!}
    </div>
@endif

Но куда девать любовь к MODX?

просто закрыл доступ к /core/ /connectors/ и /manager/ там где можно

Есть куча точек в хода из различных компонентов, которые оставляют коннекторы в /assets/components/

...
require_once MODX_CONNECTORS_PATH . 'index.php';

$auth = !empty($modx->user) && isset($_REQUEST['HTTP_MODAUTH']) && $_REQUEST['HTTP_MODAUTH'] == $modx->user->getUserToken('mgr');
if (!$auth) {
    // Тут можно любые переадресации делать. Этот код для примера.
    header("Content-Type: application/json; charset=UTF-8");
    header('HTTP/1.1 401 Not Authorized');
    echo $modx->toJSON(array(
        'success' => false,
        'code' => 401,
    ));
    @session_write_close();
    die();
}
...

Не стоит сравнивать проприетарный софт с опенсорсом. С последним сплошь и рядом такая фигня — автор устал, автору некогда, автор рубит бабло, автор вспотел — множество причин, почему автор навалить сорок куч на на «совершенство своего детища».

Но я уже ни в чём не уверен.

Это проблему не решает. Есть куча точек в хода из различных компонентов, которые оставляют коннекторы в /assets/components/

public function getCriteria($className, $type = null, $cacheFlag = true)
{
    $c = $this->newQuery($className);
    $c->cacheFlag = $cacheFlag;
    if (!empty($type)) {
        if ($type instanceof xPDOCriteria) {
            $c->wrap($type);
        } elseif (is_array($type)) {
            $tmp = array();
            array_walk_recursive($type, function ($v, $k) use (&$tmp) {
                if (!is_numeric($k)) {
                    $tmp[$k] = $v;
                }
            });
            if (count($tmp)) {
                $c->where($tmp);
            }
        } elseif (is_scalar($type)) {
            if ($pk = $this->getPK($className)) {
                $c->where(array($pk => $type));
            }
        } else {
            $c->where($type);
        }
    }

    return $c;
}

Предложил код автору xPDO, буду ждать ответа.

/var/www/*******/www/core/components/minishop2/processors/mgr/settings/option/types/combo-options.class.php on line 28" while reading response header from upstream, client: ********, server: *******.***, request: "GET /manager/index.php?a=resource/update&id=2440 HTTP/1.1", upstream: "fastcgi://unix:/var/run/php/php7.0-******.sock:", host: "******.***", referrer: "https://*******.com/manager/?a=resource/update&id=867"

Full string: fD3_ => 1622943
By char: fD3_ => 155