CRM Руководитель - Форум

Все хотел протестить этот момент и выяснить что как работает. Оказывается безопасность php-полей ограничивается..
..ровным счетом ничем:



ре-эвалюируем код:


V


"shutdown" и "format C:" не проверял...

Насчет доступа извне врядли что-то пока могу сказать, не тестил, но теоретически, любой пользователь с самыми ограниченными правами, но имеющий доступ к записям с php-полями - потенциально является "xss-администратором" (самой системы и, возможно сервера, в том числе).

"Настраивать сервер под CRM" (а не много почестей)? Отказаться от php-полей? Прогонять новых юзеров на детекторе лжи ..?

Кто что думает по этому поводу..?

PHP код создает админ (только админ) и все ответственность на нем.
Это касается и JS кода.

support писал(а): 12 сен 2021, 13:52 PHP код создает админ (только админ) и все ответственность на нем.

Ну, выходит, что на админе ответственность не только за свой код (который может быть абсолютно безопасным), но и за чужой, с того момента, как он принял решение об использовании полей данного типа.

Написал админ код:



Казалось бы, что тут такого - склеить инфу для удобного отображения:



Код по идее безопасный и админ может быть спокоен...
Но до того времени, пока кто-то не "заполнит":



Где это может возникнуть, остаётся только гадать. Как минимум это может сделать любой авторизованный юзер, возможно - посетитель публичной формы, не знаю. Ещё вероятны сюрпризы при получении данных из внешних источников в поля, если не намеренно вредоносным кодом, то как минимум ошибками eval();.

P.S. Возможно стоит посмотреть это.

ого, круто не знал!! а уже хотел не использовать поле sql formula. и только пхп полями пользоваться!

Код по идее безопасный и админ может быть спокоен...

Вы делаете прямой вывод, где тут безопасность? Как минимум htmlspecialchars нужно применять в таких случаях
https://www.php.net/manual/ru/function. ... lchars.php

Можете дать несложный работающий пример кода с использованием htmlentities или htmlspecialchars? А я попробую его пробить.

support писал(а): 12 сен 2021, 15:38Как минимум htmlspecialchars нужно применять в таких случаях

Не помогло.

Дополнительно к htmlspecialchars удалите скобки () из строки чтобы не было возможности использовать функции.
Можно использовать preg_replace и удалить все кроме букв.
Поэкспериментировать можно тут https://www.phpliveregex.com/

И тем самым исказить в итоге результат и получить что-то типа ООО _РиК_..? Я правильно понимаю?
А если в результате принципиально нужен (текст в скобках)..?