20 июля 2018, 14:30 А теперь почитай что я писал тебе 2 года назад Безопасность / Revolution 2.6.4 and Prior Two Cricital Vulnerabilities 177 +4
20 июля 2018, 14:14 Может для начала стоит ознакомиться CVE-2018-1000207 и CVE-2018-1000208? Ну или хотя бы по ссылкам походить? Безопасность / Revolution 2.6.4 and Prior Two Cricital Vulnerabilities 177 +1
20 июля 2018, 14:01 В компоненте нужно либо работать через modPhpThumb. Либо внедрить аналогичные проверки Безопасность / Revolution 2.6.4 and Prior Two Cricital Vulnerabilities 177 +1
20 июля 2018, 14:00 Ядро До версии 2.5.1 эксплуатация возможна без авторизации через modPhpThumb С версии 2.5.1 необходима авторизация в любом контексте для эксплуатации через modPhpThumb Gallery Возможна эксплуатация на любой версии ядра через phpThumb без аворизации. Фикса пока нет. Безопасность / Revolution 2.6.4 and Prior Two Cricital Vulnerabilities 177 +1
20 июля 2018, 11:43 Канал @sitesecurity и @CliSecurityFeed. Безопасность / Revolution 2.6.4 and Prior Two Cricital Vulnerabilities 177 +1 1
20 июля 2018, 08:12 Не проверял еще. Но сейчас бегло глянул код — уязвимость должна остаться, поскольку Gallery 1.7.0 работает напрямую с классом phpthumb. А правки в MODX затронули только modPhpThumb. Безопасность / Revolution 2.6.4 and Prior Two Cricital Vulnerabilities 177 +2
20 июля 2018, 00:49 В Gallery действительно имеется возможность пробросить запрос в phpthumb. Но насколько я знаю, там необходимо знать абсолютный путь к папке assets (раскрытие путей в помощь), чтобы определить куда загрузился payload. $inputSanitized = str_replace(array(':', '/'), '_', $path); $cacheFilename = $inputSanitized; $cacheFilename .= '.' . md5(serialize($query)); $cacheFilename .= '.' . $query['f']; $cacheKey = '/assets/components/gallery/cache/' . $cacheFilename; Безопасность / Revolution 2.6.4 and Prior Two Cricital Vulnerabilities 177 +5
28 ноября 2016, 21:07 Как-то так youtu.be/yQF0qhARbSw Новые дополнения и их версии / [xParser] Парсер RSS лент 94 +3
18 ноября 2016, 18:31 Если ты про AmoCRM, то их API здесь: developers.amocrm.ru/rest_api/Этого достаточно. Компонент для MODX меня не интересует. Новые дополнения и их версии / Анонс интеграции с AmoCRM и опрос по функционалу 43 0
18 ноября 2016, 17:58 Есть API для интеграции в другие платформы? Новые дополнения и их версии / Анонс интеграции с AmoCRM и опрос по функционалу 43 +1
17 ноября 2016, 21:27 Спасибо всем, кто откликнулся. Пока не актуально. Среди поступивших заявок я выбрал несколько помощников которых пригласил детальней пообщаться в вайбере/телеграмм. Некоторые уже приступили к работе. Объявления о работе / Требуется напарник (MODX Evo/Laravel) 9 +1
16 ноября 2016, 23:19 Напишите, а там пообщаемся. Посмотрим на активные задачи и т.п. Объявления о работе / Требуется напарник (MODX Evo/Laravel) 9 +1
16 ноября 2016, 21:59 Не нужно бояться — я не кусаюсь. Если по сабжу — хотелось бы, конечно, найти человека с которым мы смогли бы работать не 1 и не 2 проекта, а больше. Брать человека в проекты на обучение это большой риск, т.к. потребуется много времени на разъяснения/проверку/исправления — тем более, что я еще готов за это платить. Поэтому очень надеюсь, что мои риски понимает и соискатель. А соответственно, желание вписаться в тему на пару недель меня не устраивает. Более того, у многих из нас сейчас есть какие-то текущие проекты. Основная работа и т.д. — поэтому и не ставлю жестких рамок по объему задач/необходимому времени/оплате. — Если есть основная работа — не вопрос. Совмещайте. И вполне вероятно, что сотрудничество со мной позволит вам вырасти до профессионально фрилансера. — Если множество мелких заказчиков — не вопрос. Давайте я стану еще одним, если так удобнее это воспринимать. — Если есть сомнения в стиле «вдруг не вывезу» — отбросьте их и пишите на почту. Там пообщаемся предметнее. В противном же случае действительно, лучше не тратить ни своего, ни моего времени. Объявления о работе / Требуется напарник (MODX Evo/Laravel) 9 +2
16 ноября 2016, 04:01 $query = $modx->newQuery(modResource::class) ->sortby('menuindex','ASC') ->sortBy('pagetitle', 'ASC'); $out = $modx->getCollection(modResource::class, $query); Новости и события / Срочные исправления безопасности в MODX 2.5.2 90 +2
15 ноября 2016, 08:34 $_REQUEST['action'] = '../../new/action'; $_REQUEST['action'] = '....//....//new/action'; Новости и события / Срочные исправления безопасности в MODX 2.5.2 90 +8
15 ноября 2016, 07:34 Постараюсь больше Жени не касаться вообще никаким боком.Как-то вообще не располагает, когда ты предлагаешь фиксы которые вообще не фиксы. Постараюсь больше не реагировать на твои заскоки. Вводи и дальше людей в заблуждение. Новости и события / Срочные исправления безопасности в MODX 2.5.2 90 +8
14 ноября 2016, 17:39 Давай для начала с ru сегментом разберемся) Поднимем качество наших продуктов до должного уровня, а потом будем думать как изменить ситуацию глобально. Просто получится опть так: выпустили какой-то патч и все успокоились. А дырявые компоненты как были — так и останутся. Если у зарубежного сегмента будет желание подключить проекты modmore.com, modxcloud.com и т.п. к нашему движению аудитов — милости просим на security@agel-nash.ru Безопасность / Критическая уязвимость в MODX Revolution 340 +12
UiCMPGenerator дополнение для создания пакетов Ближе к сентябрю, основная загвоздка это создание нормальной документации и видео обзора, а так пакет как бы уже готов
Личный кабинет на Sendit - не удается сбросить пароль Хм, в массиве поле extended приходит пустым, временного пароля там нет. Сам тестовый юзер изначально был зареген в группу Users с правами доступа в личный кабинет (по обычной инстр...
Checkbox для модального окна Они не отключены, они платные, чтобы писали только те, кому действительно очень надо. Когда бесплатно люди начинают думать, что я им должен.
[SendIt 2.6.0] Анализ поведения пользователя для защиты от спама (невидимая капча)... Здравствуйте. Делаю личный кабинет на Sendit и со сбросом пароля возникли проблемы. Можете подсказать, в чем ошибка? Список вопросов в одноименном разделе на modx.pro пока пуст, и,...
Minishop + честный знак (продажа маркированной продукции) В нашем случае мы решили убрать всю логику по маркировке сайта.
MiniShop3 - Не выводятся товары дополнительных категорий @SYAN ваша указанная проблема исправлена еще до версии 1.2.3 @Павлик Мышкин завел: github.com/modx-pro/MiniShop3/issues/480 github.com/modx-pro/MiniShop3/issues/481Исправим в б...
MobileDetect 2.0.0-pl функция "планшеты как стандартные браузеры не работает" в 2.1.0-pl баг исправлен
msImportExport не сохраняет родителя по умолчанию Компонент не понимает кирилические домены при загрузку фото. пример: Error download. Url : https://антаресдвери.рф/upload/iblock/a50/a50b2ef45305a3c18f6e298f1e134880.jpg. Message...
До версии 2.5.1 эксплуатация возможна без авторизации через modPhpThumb
С версии 2.5.1 необходима авторизация в любом контексте для эксплуатации через modPhpThumb
Gallery
Возможна эксплуатация на любой версии ядра через phpThumb без аворизации. Фикса пока нет.
Брать человека в проекты на обучение это большой риск, т.к. потребуется много времени на разъяснения/проверку/исправления — тем более, что я еще готов за это платить. Поэтому очень надеюсь, что мои риски понимает и соискатель. А соответственно, желание вписаться в тему на пару недель меня не устраивает.
Более того, у многих из нас сейчас есть какие-то текущие проекты. Основная работа и т.д. — поэтому и не ставлю жестких рамок по объему задач/необходимому времени/оплате.
— Если есть основная работа — не вопрос. Совмещайте. И вполне вероятно, что сотрудничество со мной позволит вам вырасти до профессионально фрилансера.
— Если множество мелких заказчиков — не вопрос. Давайте я стану еще одним, если так удобнее это воспринимать.
— Если есть сомнения в стиле «вдруг не вывезу» — отбросьте их и пишите на почту. Там пообщаемся предметнее.
В противном же случае действительно, лучше не тратить ни своего, ни моего времени.
$_REQUEST['action'] = '....//....//new/action';
Постараюсь больше не реагировать на твои заскоки. Вводи и дальше людей в заблуждение.
Поднимем качество наших продуктов до должного уровня, а потом будем думать как изменить ситуацию глобально. Просто получится опть так: выпустили какой-то патч и все успокоились. А дырявые компоненты как были — так и останутся.
Если у зарубежного сегмента будет желание подключить проекты modmore.com, modxcloud.com и т.п. к нашему движению аудитов — милости просим на security@agel-nash.ru