Frage zum neuen Sicherheitspatch

[Thore]

Hallo,

in wie weit sind die Vorgängerversionen betroffen? Wenn ja, besteht eventuell die Möglichkeit die Sicherheitslücke ohne Update auf die 2.2 zu schließen?

Gruß Mario

[Suchender]

viel Interessanter wäre welcher Code geändert wurde.

Ich denke viele benutzen bereits Modifikationen die Änderungen in diesen Dateien beinhalten.

[mizzy]

Zitat von Suchender

viel Interessanter wäre welcher Code geändert wurde.

Ich denke viele benutzen bereits Modifikationen die Änderungen in diesen Dateien beinhalten.

hallo...
ich habe es mit winmerge verglichen, war net soviel und hab den geänderten code in meine datein übernommen. sind ja nur 2 datein.

v.g. micha

[Suchender]

kannst das mal posten?

[eddy66]

Reicht es, wenn ich das magic_quotes disable oder müssen die beiden files ebenfalls unbedingt ausgetauscht werden ?

[annemie]

Hallo
Nachdem ich der neue Patch installiert habe (inkludes und Module auf zwei Shops) kann ich mein Navigation nicht mehr aufmachen, ich habe die original Dateien wieder eingespielt und trotzdem funktioniert bei ein Shop der Navigation nicht mehr. Was muß ich machen.

Grüße
annemie

[Suchender]

Die Änderungen, falls von Hand zu erledigen:

includes/application_top.php

Suche

} else {
                $_GET[$vars[$i]] = htmlspecialchars($vars[$i +1]);
            }
            $i ++;

Ersetze

} else {
                $_GET[$vars[$i]] = htmlspecialchars($vars[$i +1]);
                if(get_magic_quotes_gpc()) $_GET[$vars[$i]] = addslashes($_GET[$vars[$i]]);
            }
            $i ++;

Suche

if (sizeof($GET_array) > 0) {
            while (list ($key, $value) = each($GET_array)) {
                $_GET[$key] = htmlspecialchars($value);
            }
        }
    }
}

Ersetze

if (sizeof($GET_array) > 0) {
            while (list ($key, $value) = each($GET_array)) {
                $_GET[$key] = htmlspecialchars($value);
                if(get_magic_quotes_gpc()) $_GET[$key] = addslashes($_GET[$key]);
            }
        }
    }
}

includes/modules/metatags.php

Suche

if ($_GET['coID']) {
            $contents_meta_query = xtDBquery("SELECT content_heading
                                                        FROM " . TABLE_CONTENT_MANAGER . "
                                                        WHERE content_group='" . $_GET['coID'] . "' and
                                                        languages_id='" . $_SESSION['languages_id'] . "'");
            $contents_meta = xtc_db_fetch_array($contents_meta_query, true);
?>

Ersetze

if ($_GET['coID']) {
            $contents_meta_query = xtDBquery("SELECT content_heading
                                                        FROM " . TABLE_CONTENT_MANAGER . "
                                                        WHERE content_group='" . (int)$_GET['coID'] . "' and
                                                        languages_id='" . $_SESSION['languages_id'] . "'");
            $contents_meta = xtc_db_fetch_array($contents_meta_query, true);
?>

[annemie]

Danke suchender,

das Probleme ist gelöst, ich habe die original Dateien von mein DirectURL wieder eingepielt, dieser Patch ist nur für Shop mit aktviert SEO-Urls und nicht für Shop mit DirectURL. Jetzt funktionierts wieder, ich hatte die original Dateien vom xt-Commerce und nicht vom DirectURL eingespielt.

Grüße
annemie

[pulperia]

Hallo an alle,

da ich SHOPSTAT im Einsatz habe, also "SEARCH_ENGINE_FRIENDLY_URLS" auskommentiert im application_top.php habe, denke dass keine Änderungen nötig seien?

stimm das oder soll ich es trotzdem durchführen?

[marcobasse]

habe mal einwenig verkürzt...

includes/application_top.php
suche nach:

$_GET[$vars[$i]] = htmlspecialchars($vars[$i +1]);

füge darunter folgendes ein:

if(get_magic_quotes_gpc()) $_GET[$vars[$i]] = addslashes($_GET[$vars[$i]]);

suche nach:

$_GET[$key] = htmlspecialchars($value);

füge darunter folgendes ein:

if(get_magic_quotes_gpc()) $_GET[$key] = addslashes($_GET[$key]);

includes/modules/metatags.php
suche nach:

'" . $_GET['coID'] . "'

ersetzte es mit:

'" . (int)$_GET['coID'] . "'

Gruß
Mathis