OXPUS.de

Das i nach der # kann weg. Das schreib ich standardmäßig immer in meine RegEx's, aber hier in diesem Fall ist es nicht nötig. Verzeichniswechsel werden abgefangen.

<?php
// Sicherheit gegen register_globals Attacken
$_SESSION = array();

// Sicherheit gegen Directory Traversal und ASCIIZ Attacken
$datei = htmlspecialchars(preg_replace('#(\/|\.\.|"|\'|\x00)#i', '',$_GET['datei']));
$datei = str_replace('%00', '', $datei);

session_start();
if($_SESSION['user ...

Ich habe in den Jahren gelernt mit "Lösungen" vorsichtig umzugehen. Viel zu oft werden diese genutzt um anderen zu schaden.

Dann will ich Dir lieber einfach Recht geben und sagen "Okay, es ist nicht möglich" und alle sind glücklich. Meine Erfahrung ist wertlos. ;)

Tekin

P.S.: Nicht immer alles ...

Und den Möchtegernhackern wird der Weg genau beschrieben, den sie in ungeschützen Boards gehen müssen.... Ich bin wie cback der Meinung, das ein kurzes "XSS über EXIF-Daten" gereicht hätte. Intern kann man dann auch solche Exploits weitergeben, aber nicht offen posten. Da gibt es leider schon genug ...

I am sorry. Yesterday I forgot the occurances of the icqlinks in the scripts groupcp.php, memberlist.php and privmsg.php. I updated the code-sequence of my first post. Please be sure to modify the upper three files too to make it work 100%.

Hint for the experienced admins: The only thing that ...

Mirabilis changed the addlink to add people directly to your icq by clicking on a link. That's the reason why you only see an errorpage when you click on an icq-icon of a user.

This bug is not the fault of the phpBB group.

#
#-----[ OPEN ]------------------------------------------
#
groupcp.php ...

Jetzt hat sich bei mir doch ein Minifehler eingeschlichen.

Natürlich muss der Querylauten. Aber das Euch sowieso klar.

Punkt 1: Macht Sinn. Hatte ich übersehen. Jedoch selbst diese zwei SQL-Queries lassen sich zu einem zusammenfügen.
$sql = "SELECT config_value FROM " . CONFIG_TABLE . "
WHERE config_name IN ('board_timezone', 'default_dateformat')";
if ( !($result = $db->sql_query($sql)) )
{
message_die(GENERAL ...

Gerne. Hatte ich eh vor, sobald ich Zeit dafür finde. Derzeit bin ich leider voll ausgelastet mit Projekten bei denen ich mitwirke. Aber ich denke, da wird in naher Zukunft ein Mod von mir erscheinen.

Eigentlich fing alles damit an, dass ich beim INSERT diesen unsinnigen Eintrag mit dem ...

Schönen guten Tag,

eigentlich bat mich ein Kunde vor einiger Zeit darum, dieses einzubauen. Dabei sind mir einige Punkte aufgefallen im admin_user_register.php , die ich gerne hier auflisten möchte.

1. Unnötige Abfrage der Board Konfiguration
An zwei Stellen des Scriptes (Zeile 32ff. und 85ff ...