abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 20:00 | Komunita

    Byly zpracovány a na YouTube zveřejněny videozáznamy z konference LinuxDays 2025.

    Ladislav Hagara | Komentářů: 0
    včera 15:22 | IT novinky

    Na konferenci LinuxDays 2025 byl oficiálně představen nový router Turris Omnia NG.

    Ladislav Hagara | Komentářů: 13
    včera 05:22 | Komunita

    Přímý přenos (YouTube) z konference LinuxDays 2025, jež probíhá tento víkend v Praze v prostorách FIT ČVUT. Na programu je spousta zajímavých přednášek.

    Ladislav Hagara | Komentářů: 11
    3.10. 22:44 | IT novinky

    V únoru loňského roku Úřad pro ochranu osobních údajů pravomocně uložil společnosti Avast Software pokutu 351 mil. Kč za porušení GDPR. Městský soud v Praze tuto pokutu na úterním jednání zrušil. Potvrdil ale, že společnost Avast porušila zákon, když skrze svůj zdarma dostupný antivirový program sledovala, které weby jeho uživatelé navštěvují, a tyto informace předávala dceřiné společnosti Jumpshot. Úřad pro ochranu osobních údajů

    … více »
    Ladislav Hagara | Komentářů: 3
    3.10. 19:00 | Nová verze

    Google Chrome 141 byl prohlášen za stabilní. Nejnovější stabilní verze 141.0.7390.54 přináší řadu novinek z hlediska uživatelů i vývojářů. Podrobný přehled v poznámkách k vydání. Opraveno bylo 21 bezpečnostních chyb. Za nejvážnější z nich (Heap buffer overflow in WebGPU) bylo vyplaceno 25 000 dolarů. Vylepšeny byly také nástroje pro vývojáře.

    Ladislav Hagara | Komentářů: 0
    3.10. 17:11 | Upozornění

    eDoklady mají kvůli vysoké zátěži technické potíže. Ministerstvo vnitra doporučuje vzít si sebou klasický občanský průkaz nebo pas.

    Ladislav Hagara | Komentářů: 7
    3.10. 17:00 | Komunita

    Novým prezidentem Free Software Foundation (FSF) se stal Ian Kelling.

    Ladislav Hagara | Komentářů: 1
    3.10. 14:33 | Komunita

    Na čem pracují vývojáři webového prohlížeče Ladybird (GitHub)? Byl publikován přehled vývoje za září (YouTube).

    Ladislav Hagara | Komentářů: 0
    3.10. 12:33 | Upozornění

    Vyšla kniha Počítačové programy a autorské právo. Podle internetových stránek nakladatelství je v knize "Významný prostor věnován otevřenému a svobodnému softwaru, jeho licencím, důsledkům jejich porušení a rizikům „nakažení“ proprietárního kódu režimem open source."

    javokajifeng | Komentářů: 0
    3.10. 01:11 | Bezpečnostní upozornění

    Red Hat řeší bezpečnostní incident, při kterém došlo k neoprávněnému přístupu do GitLab instance používané svým konzultačním týmem.

    Ladislav Hagara | Komentářů: 0
    Jaké řešení používáte k vývoji / práci?
     (38%)
     (45%)
     (15%)
     (17%)
     (20%)
     (15%)
     (17%)
     (16%)
     (15%)
    Celkem 175 hlasů
     Komentářů: 12, poslední včera 20:35
    Rozcestník

    Trápna zraniteľnosť v XML komentári a koniec remote XUL

    22.12.2010 00:23 | Přečteno: 1019× | linux

    Dnes som objavil jednu naprosto triviálnu zraniteľnosť v mojom php projekte a keď som to chcel otestovať v najnovšom Firefoxe 4 beta 8 (vyšla tuším dnes) tak som zistil že Mozilla ukončila podporu Remote XULu.

    Tu je ten problematický php kód:

    function xml_comment_sql($s) {
      // sluzi na vypis SQL do komentaru XML pred spustenim toho SQL, kvoli ladeniu a tak
      global $mysql_link;
      echo "<!-- ".mysql_real_escape_string(htmlspecialchars($s),$mysql_link)." -->\n";
    }

    Ja som tam pred dvoma rokmi bezmyšlienkovite dal escapovanie pre sql, a nejak mi uniklo že musím escapovať aj dve pomlčky ktoré predčasne ukončia ten xml komentár. Viem si predstaviť zneužitie napr. v RSS feedoch. Útočník by tak ukončil komentár, za to by dal nejaký image kde src by bola nejaká ddos-ovaná stránka alebo také niečo. Ja viem, ja viem, namiesto bastlenia XML som mal použiť niečo normálne na generovanie. No, čo už, stane sa.

    Druhá vec sa mi najprv zdala trochu nemilá ale potom som si uvedomil že je to vlastne dar z nebies. Mozilla ukončila podporu remote XUL v Firefoxe 4.0. Poučenie pre mňa: nikdy nechoď do frameworku ktorý má jediného dodávateľa. Konečne mám dôvod ukončiť podporu mojich XUL aplikácií a portnúť ich na HTML5.

    Nedávno som v HTML5 objavil pár nových zaujímavých atribútov týkajúcich sa validácie formulárov u klienta. Prvý je "required", ktorý ak je input prázdny tak ho začervení. Druhý je atribút "pattern" kde môžete dať regulárny výraz (napr. slová začínajúce na "a", proste čokoľvek. Ďalšia novinka je typ "email" alebo "url", význam je snáď jasný. Nie je to úplne blbuvzdorné ale na základné zaplácnutie v pohode a netreba sa trtkať s JS kódom. Sú tam aj "min", "max" a pár ďalších naozaj užitočných vecí. Kontrola vstupov na serveri ale samozrejme zostáva, o tom bez debaty.

           

    Hodnocení: 100 %

            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    22.12.2010 12:41 Mrkva | skóre: 22 | blog: urandom
    Rozbalit Rozbalit vše Re: Trápna zraniteľnosť v XML komentári a koniec remote XUL
    Ja som tam pred dvoma rokmi bezmyšlienkovite dal escapovanie pre sql, a nejak mi uniklo že musím escapovať aj dve pomlčky ktoré predčasne ukončia ten xml komentár.
    Neukončuje náhodou komentář sekvence "-->"? "--" je začátek řádkového komentáře v SQL. A i kdyby se povedlo ten komentář nějak ukončit, jak tam někdo vloží obrázek, když tam nevloží < ?
    We lived, we danced, we raced, we run, from the oblivion to come, Dressed for the last dance of a hundred thousand suns.
    22.12.2010 15:17 Filip Jirsák | skóre: 67 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Trápna zraniteľnosť v XML komentári a koniec remote XUL
    Sekvence -- není v XML komentáři povolená.

    Jinak escapovat výstup pro XML pomocí funkce pro escapování SQL je – řekněme skutečně zvláštní přístup.
    22.12.2010 16:33 Mrkva | skóre: 22 | blog: urandom
    Rozbalit Rozbalit vše Re: Trápna zraniteľnosť v XML komentári a koniec remote XUL
    Sekvence -- není v XML komentáři povolená.
    Pravda, ale spíš to způsobí pád parseru s chybou než ukončení komentáře.
    We lived, we danced, we raced, we run, from the oblivion to come, Dressed for the last dance of a hundred thousand suns.
    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.