https://www.opennet.ru/openforum/vsluhforumID3/116630.html Саймон Скэннелл (Simon Scannell), в прошлом году предложивший метод атаки "PHP Phar deserialization (https://www.opennet.ru/opennews/art.shtml?num=49641)", опубликовал (https://blog.ripstech.com/2019/wordpress-image-remote-code-execution/) сведения об уязвимости в системе управления контентом WordPress, позволяющей выполнить произвольный код на сервере, имея привилегии автора публикаций (Author) на сайте. В обновлениях WordPress 4.9.9 и 5.0.1 (https://www.opennet.ru/opennews/art.shtml?num=49781) была добавлена частичная защита, позяовлющая блокировать атаку в основном коде WordPress, но полностью проблема остаётся не исправленной и в актуальном выпуске WordPress 5.0.3 может быть эксплуатирована через дополнительные ошибки в плагинах (отмечается, что проблема проявляется в некоторых популярных плагинах c миллионами активных установок).<br><br><br>Уязвимость стала следствием двух проблем - ошибки при обработке файловых путей и возможности переопределения метаданных в БД. Первая проблема позволяет переопределить в БД https://www.opennet.ru/openforum/vsluhforumID3/116630.html#83 Wed, 27 Feb 2019 17:51:54 GMT Ставь плагин TinyMCE Advanced и включай пункт в настройках "Заменить редактор блоков классическим редактором"<br>Пока как-то так. Лучшего пока не нашел<br> https://www.opennet.ru/openforum/vsluhforumID3/116630.html#82 Sat, 23 Feb 2019 06:38:34 GMT Обновился до 5,1 версии.<br>Полнейшая муть,не удобно ни чего!<br>Редактор полнейшая хрень.<br> https://www.opennet.ru/openforum/vsluhforumID3/116630.html#81 Fri, 22 Feb 2019 11:04:11 GMT &gt; Кстати, неплохая идея хранить пользовательские файлы на диске с хэшированными именами<br><br>Пока что-то не наенбется, и не понадобится это отыскать среди нескольких тысяч файлов с непонятными именами.<br><br>Переменным и файлам лучше давать осмысленные структурированные имена. Иначе эти имена вообще не нужны, можно тупо брать HEX-заголовок из ФС.<br> https://www.opennet.ru/openforum/vsluhforumID3/116630.html#80 Fri, 22 Feb 2019 10:25:52 GMT Для комментов полно сервисов, которые легко подключаются к статичным сайтам.<br> https://www.opennet.ru/openforum/vsluhforumID3/116630.html#79 Fri, 22 Feb 2019 09:56:35 GMT &gt; Ээээ.. а зачем вообще такой функционал - декодить картинку в код? Кто-нибудь может подсказать вменяемый юзкейс для такого?<br><br>О, я тебе подскажу целых три юзкейса.<br>Ну, в чем смысл ты понимаешь, да? У тебя в каталоге ./uploads/ лежит безобидный файлик favicon.ico, на который всем насpать, пушо это картинка. А потом в дырявом файлике темы functions.php у тебя лежит строчка @include('./uploads/favicon.ico'); или более хитропопые варианты как через GD: eval(gunzip(gd_бла_бла_бла('./uploads/favicon.ico')))<br><br>А потом:<br><br>1. Твой Hetzner тебя банит за то что твой VPS создает слишком жирную активность криптомайнером. Ты теряешь бабло на засуспенженом хостинге, а кто-то получает бабло на намайненной крипте за твой счет;<br><br>2. Твой Hetzner тебя банит за то что с твоего IP было отправлено 50000 enlargeyourpenisoв за последние 24 часа. Ты теряешь бабло на забаненном хостинге, а кому-то заплатили по 10 центов за каждый отправленный email;<br><br>3. Твой Hetzner тебя банит за то что с твоего IP был отправлен миллион ICMP-па https://www.opennet.ru/openforum/vsluhforumID3/116630.html#78 Thu, 21 Feb 2019 18:00:44 GMT Заодно решается проблема с возможными коллизиями - insert id уникален для каждой транзакции, и с шардингом - можно в БД заливать, куда зашардили. Доступ к файлу - по id. Если нужен по другим признакам - выбрать по индексу из БД - не проблема.<br> https://www.opennet.ru/openforum/vsluhforumID3/116630.html#77 Thu, 21 Feb 2019 17:58:55 GMT Всё ещё проще: открываем транзакцию, пишем в БД метаданные, получаем insert ID, пишем &lt;insert ID&gt;.file, коммитим транзакцию. Обработка ошибок транзакцию оборвёт - т.е. если не запишется файл, метаданные тоже сгинут. Единственный тонкий момент - если коммит транзакции сфейлился, не забыть удалить файл. Но это можно делать и периодически в хаускипере - листаем файлы, не находим в базе, грохаем.<br> https://www.opennet.ru/openforum/vsluhforumID3/116630.html#76 Thu, 21 Feb 2019 17:56:00 GMT Из шустрейших шаблонизаторов - blitz. В виде сишного модуля для пыха.<br> https://www.opennet.ru/openforum/vsluhforumID3/116630.html#75 Thu, 21 Feb 2019 17:54:32 GMT Ну он же написал - уговаривают клиентов. Но клиенты - не идиоты, они не соглашаются.<br>