<!–texy–>Uz je to vyreseno v nove verzi:

http://www.minibb.net/forums/9_4661_0.html

<!–texy–>[10] Já si to také nemyslím, ale bylo třeba udělat menší demonstraci.

<!–texy–>myslim ze vytvaret takoveto scripty a jeste je davat volne k pouziti i snavodem neni zrovna dobry napad.

<!–texy–>Pánové a dámy, inspirován Accim, vytvořil jsem jednoduchý hackovací nástroj na mazání miniBB topiců. Funguje absolutně jednoduše, stačí zadat pouze téměř libovolnou URL do BB tagu [img] a pak už jen počkat, až stránku navštíví moderátor. Skript mu ukradne identitu a smaže vybraný topic.

http://hackminibb.php5.cz

<!–texy–>Acci, už jsem v životě několikrát upozornil na vážné bezpečnostní problémy u některých Open Source projektů a ve fórech jsem to většinou schytal s tím, že jsem vůl, vždyť ten báječný program používají tisíce spokojených uživatelů a tak obrovská komunita je přece zárukou, že je to supr dupr, že to funguje a vůbec! :-)

<!–texy–>[6] Ano, máš samozřejmě pravdu. Jenže pokud bys toto napsal vývojářům, vsadil bych se, že by prostě zakázali otazník v adrese obrázku.

<!–texy–>[5] A když budu odkazovat na xy.php?oblbnem=.jpg tak přece mod_rewrite nepotřebuju ne? Když otazníček zakázaný nebyl…

<!–texy–>[4] Protože na obrázek se převede pouze soubor s příponou `JPG`, `PNG` nebo `GIF`.

<!–texy–>pokud zakazali jen znak &, proc menit php soubor na jpg?

<!–texy–>To jsou teda deletanti….

V dalsi verzi patrne zakazou moderatorum cist topic, ktery maji pravo smazat… /-: