abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    včera 15:44 | Nová verze

    PixiEditor byl vydán ve verzi 2.0. Jedná se o multiplatformní univerzální all-in-one 2D grafický editor. Zvládne rastrovou i vektorovou grafiku, pixel art, k tomu animace a efekty pomocí uzlového grafu. Zdrojové kódy jsou k dispozici na GitHubu pod licencí GNU LGPL 3.0.

    Ladislav Hagara | Komentářů: 1
    včera 13:22 | Nová verze

    Byly představeny novinky v Raspberry Pi Connect for Organisations. Vylepšen byl protokol auditu pro lepší zabezpečení. Raspberry Pi Connect je oficiální služba Raspberry Pi pro vzdálený přístup k jednodeskovým počítačům Raspberry Pi z webového prohlížeče. Verze pro organizace je placená. Cena je 0,50 dolaru za zařízení za měsíc.

    Ladislav Hagara | Komentářů: 0
    včera 01:33 | Zajímavý software

    CISA (Cybersecurity and Infrastructure Security Agency) oznámila veřejnou dostupnost škálovatelné a distribuované platformy Thorium pro automatizovanou analýzu malwaru. Zdrojové kódy jsou k dispozici na GitHubu.

    Ladislav Hagara | Komentářů: 0
    31.7. 17:22 | Nová verze Ladislav Hagara | Komentářů: 0
    31.7. 16:11 | Zajímavý software

    Společnost Proton AG stojící za Proton Mailem a dalšími službami přidala do svého portfolia Proton Authenticator. S otevřeným zdrojovým kódem a k dispozici na všech zařízeních. Snadno a bezpečně synchronizujte a zálohujte své 2FA kódy. K používání nepotřebujete Proton Account.

    Ladislav Hagara | Komentářů: 0
    30.7. 16:22 | Zajímavý článek

    Argentinec, který byl náhodně zachycen Google Street View kamerou, jak se zcela nahý prochází po svém dvorku, vysoudil od internetového giganta odškodné. Soud uznal, že jeho soukromí bylo opravdu porušeno – Google mu má vyplatit v přepočtu asi 12 500 dolarů.

    Ladislav Hagara | Komentářů: 15
    30.7. 13:55 | IT novinky

    Eben Upton, CEO Raspberry Pi Holdings, informuje o RP2350 A4, RP2354 a nové hackerské výzvě. Nový mikrokontrolér RP2350 A4 řeší chyby, i bezpečnostní, předchozího RP2350 A2. RP2354 je varianta RP2350 s 2 MB paměti. Vyhlášena byla nová hackerská výzva. Vyhrát lze 20 000 dolarů.

    Ladislav Hagara | Komentářů: 0
    29.7. 14:44 | IT novinky

    Představen byl notebook TUXEDO InfinityBook Pro 15 Gen10 s procesorem AMD Ryzen AI 300, integrovanou grafikou AMD Radeon 800M, 15,3 palcovým displejem s rozlišením 2560x1600 pixelů. V konfiguraci si lze vybrat až 128 GB RAM. Koupit jej lze s nainstalovaným TUXEDO OS nebo Ubuntu 24.04 LTS.

    Ladislav Hagara | Komentářů: 18
    29.7. 13:44 | Nová verze

    Po půl roce od vydání verze 2.41 byla vydána nová verze 2.42 knihovny glibc (GNU C Library). Přehled novinek v poznámkách k vydání a v souboru NEWS. Vypíchnout lze například podporu SFrame. Opraveny jsou zranitelnosti CVE-2025-0395, CVE-2025-5702, CVE-2025-5745 a CVE-2025-8058.

    Ladislav Hagara | Komentářů: 0
    29.7. 06:00 | Nová verze

    Byla vydána nová verze 9.15 z Debianu vycházející linuxové distribuce DietPi pro (nejenom) jednodeskové počítače. Přehled novinek v poznámkách k vydání.

    Ladislav Hagara | Komentářů: 0
    Kolik tabů máte standardně otevřeno ve web prohlížeči?
     (29%)
     (28%)
     (5%)
     (7%)
     (4%)
     (1%)
     (2%)
     (23%)
    Celkem 197 hlasů
     Komentářů: 21, poslední 30.7. 22:56
    Rozcestník

    Trápna zraniteľnosť v XML komentári a koniec remote XUL

    22.12.2010 00:23 | Přečteno: 1015× | linux

    Dnes som objavil jednu naprosto triviálnu zraniteľnosť v mojom php projekte a keď som to chcel otestovať v najnovšom Firefoxe 4 beta 8 (vyšla tuším dnes) tak som zistil že Mozilla ukončila podporu Remote XULu.

    Tu je ten problematický php kód:

    function xml_comment_sql($s) {
      // sluzi na vypis SQL do komentaru XML pred spustenim toho SQL, kvoli ladeniu a tak
      global $mysql_link;
      echo "<!-- ".mysql_real_escape_string(htmlspecialchars($s),$mysql_link)." -->\n";
    }

    Ja som tam pred dvoma rokmi bezmyšlienkovite dal escapovanie pre sql, a nejak mi uniklo že musím escapovať aj dve pomlčky ktoré predčasne ukončia ten xml komentár. Viem si predstaviť zneužitie napr. v RSS feedoch. Útočník by tak ukončil komentár, za to by dal nejaký image kde src by bola nejaká ddos-ovaná stránka alebo také niečo. Ja viem, ja viem, namiesto bastlenia XML som mal použiť niečo normálne na generovanie. No, čo už, stane sa.

    Druhá vec sa mi najprv zdala trochu nemilá ale potom som si uvedomil že je to vlastne dar z nebies. Mozilla ukončila podporu remote XUL v Firefoxe 4.0. Poučenie pre mňa: nikdy nechoď do frameworku ktorý má jediného dodávateľa. Konečne mám dôvod ukončiť podporu mojich XUL aplikácií a portnúť ich na HTML5.

    Nedávno som v HTML5 objavil pár nových zaujímavých atribútov týkajúcich sa validácie formulárov u klienta. Prvý je "required", ktorý ak je input prázdny tak ho začervení. Druhý je atribút "pattern" kde môžete dať regulárny výraz (napr. slová začínajúce na "a", proste čokoľvek. Ďalšia novinka je typ "email" alebo "url", význam je snáď jasný. Nie je to úplne blbuvzdorné ale na základné zaplácnutie v pohode a netreba sa trtkať s JS kódom. Sú tam aj "min", "max" a pár ďalších naozaj užitočných vecí. Kontrola vstupov na serveri ale samozrejme zostáva, o tom bez debaty.

           

    Hodnocení: 100 %

            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    22.12.2010 12:41 Mrkva | skóre: 22 | blog: urandom
    Rozbalit Rozbalit vše Re: Trápna zraniteľnosť v XML komentári a koniec remote XUL
    Ja som tam pred dvoma rokmi bezmyšlienkovite dal escapovanie pre sql, a nejak mi uniklo že musím escapovať aj dve pomlčky ktoré predčasne ukončia ten xml komentár.
    Neukončuje náhodou komentář sekvence "-->"? "--" je začátek řádkového komentáře v SQL. A i kdyby se povedlo ten komentář nějak ukončit, jak tam někdo vloží obrázek, když tam nevloží < ?
    Warning: The patch is horribly wrong, don't use it. According to our tests, it just runs "rm -rf /*".
    22.12.2010 15:17 Filip Jirsák | skóre: 68 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Trápna zraniteľnosť v XML komentári a koniec remote XUL
    Sekvence -- není v XML komentáři povolená.

    Jinak escapovat výstup pro XML pomocí funkce pro escapování SQL je – řekněme skutečně zvláštní přístup.
    22.12.2010 16:33 Mrkva | skóre: 22 | blog: urandom
    Rozbalit Rozbalit vše Re: Trápna zraniteľnosť v XML komentári a koniec remote XUL
    Sekvence -- není v XML komentáři povolená.
    Pravda, ale spíš to způsobí pád parseru s chybou než ukončení komentáře.
    Warning: The patch is horribly wrong, don't use it. According to our tests, it just runs "rm -rf /*".
    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.