UWAGA: W PHP wykryto krytyczne podatności, przez które Wasze strony/fora mogą zostać zhakowane! Dzisiaj mają być udostępnione poprawione wersje, warto monitorować i ustawić odpowiendie wersje PHP na swom serwerze.

Poprawki będę zawarte w wersjach PHP: 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35! Jeśli używacie jeszcze wersje PHP 7.x lub 8.0.x lub 8.1.x, należy, jak najszybciej podnieść wersje PHP i/lub zaktualizować swoje fora!

Do momentu wdrożenia oficjalnej łatki, ryzyko ataku można drastycznie zmniejszyć poprzez zmianę konfiguracji w pliku php.ini:
Ustaw: session.upload_progress.enabled = Off

Albo np., można zrobić: https://ma.ttias.be/php-cve-2026-109618 ... itigation/

Dla serwera Apache ustaw w pliku .htaccess

Kod: Zaznacz cały

RewriteEngine On
RewriteCond %{HTTP:Content-Type} multipart/form-data [NC]
RewriteRule ^ - [F]
i/lub - nie testowałem

Kod: Zaznacz cały

<If "req('Content-Type') =~ /multipart/i">
    Require all denied
</If>

Dla nginx

Kod: Zaznacz cały

# http {} context, e.g. /etc/nginx/conf.d/block-multipart.conf
map $http_content_type $block_multipart {
    default       0;
    "~*multipart" 1;
}

# inside every server {} that passes requests to PHP, including default/catch-all servers
if ($block_multipart) {
    return 403;
}
_____________________________________________________

Pojawiła się nowa wersja systemu - phpBB 3.3.19. Ostatnie wydania (od wersji 3.3.17 do najnowszej) przynoszą kluczowe poprawki, które chronią Twoje forum przed zagrożeniami i dbają o spokój Twojej społeczności. Polecam nie odkładać tego na później, tyllko zaktualizować fora!

Polski pakiet językowy dla phpBB 3.3.19

Zabezpieczenie forum przed poprzednim adminem?

Pomoc przy instalacji oraz użytkowaniu phpBB 3.2.x. Forum nie służy do zgłaszania znalezionych błędów, innowacji lub problemów związanych ze stylami i rozszerzeniami.
Forester
Posty: 8
Rejestracja: 28 maja 2019, 06:12

Zabezpieczenie forum przed poprzednim adminem?

Post autor: Forester » 01 czerwca 2019, 20:42

To mój pierwszy post na Forum więc witam serdecznie i liczę na wyrozumiałość ;)

Znajomy pokłócił się z adminem swojego forum, w efekcie admin go olał i sobie poszedł w siną dal. Mój problem polega na tym, że kumpel ma zdecydowanie zbyt duże wyobrażenie o moich umiejętnościach :lol: no i gdybym odmówił mu pomocy to pewnie by się obraził. Ale w sumie lubię wyzwania więc zgodziłem się pomóc, przynajmniej tymczasowo, w ogarnianiu tematu. Stąd wkrótce pewnie pojawi się ze 16 moich wątków z rożnymi pytaniami :oops:
I w końcu do rzeczy: czy poprzedni admin mógł pozostawiać sobie jakieś furtki, którymi dostanie się na forum po tym jak zmienię główne hasło? A jeśli tak to w jaki sposób się przed tym uchronić? Wprawdzie nie podejrzewam tego byłego admina o jakieś niecne zamiary ale znajomy wpadł w jakąś paranoję na tym punkcie ...

vader
Administrator
Posty: 1595
Rejestracja: 19 kwietnia 2015, 14:44
Lokalizacja: Kraków
Kontakt:

Re: Zabezpieczenie forum przed poprzednim adminem?

Post autor: vader » 01 czerwca 2019, 23:14

Może mieć potencjalnie innego użytkownika z uprawnieniami admina, bo to jedyny sposób aby się dostać do takiego panelu. Polecam tez zmienić hasła do ftp i bazy danych.

Forester
Posty: 8
Rejestracja: 28 maja 2019, 06:12

Re: Zabezpieczenie forum przed poprzednim adminem?

Post autor: Forester » 02 czerwca 2019, 00:09

vader pisze: ↑
01 czerwca 2019, 23:14
Polecam tez zmienić hasła do ftp i bazy danych.
OK, dzięki.
vader pisze: ↑
01 czerwca 2019, 23:14
Może mieć potencjalnie innego użytkownika z uprawnieniami admina, bo to jedyny sposób aby się dostać do takiego panelu.
A czy jest sposób żeby wybić wszystkich takich potencjalnych użytkowników??

vader
Administrator
Posty: 1595
Rejestracja: 19 kwietnia 2015, 14:44
Lokalizacja: Kraków
Kontakt:

Re: Zabezpieczenie forum przed poprzednim adminem?

Post autor: vader » 02 czerwca 2019, 07:36

Zaloguj się do ACP > Użytkownicy i Grupy > Uprawnienia globalne > zarządzanie grupami i zobacz jacy użytkownicy są w grupie Administratorzy

Forester
Posty: 8
Rejestracja: 28 maja 2019, 06:12

Re: Zabezpieczenie forum przed poprzednim adminem?

Post autor: Forester » 02 czerwca 2019, 10:49

Dzięki. Żadnych innych furtek nie muszę się obawiać?

vader
Administrator
Posty: 1595
Rejestracja: 19 kwietnia 2015, 14:44
Lokalizacja: Kraków
Kontakt:

Re: Zabezpieczenie forum przed poprzednim adminem?

Post autor: vader » 02 czerwca 2019, 11:01

Każdy system da się złamać. Pytanie tylko czy warto?

Forester
Posty: 8
Rejestracja: 28 maja 2019, 06:12

Re: Zabezpieczenie forum przed poprzednim adminem?

Post autor: Forester » 02 czerwca 2019, 21:51

Tylko jeszcze dodam, że usunięcie zawodnika z grupy adminów niekoniecznie odbiera mu uprawnienia administracyjne. Warto jeszcze wejść w Uprawnienia -> Uprawnienia globalne użytkownika i zobaczyć co tam zostało.

ODPOWIEDZ

Wróć do „Użytkowanie”