Bardzo długo tego nie zauważałem, ale też długo nie było z tym problemu bo nikt nie pisał w forach jako gość. Tylko w jednym - forum administracyjnym.
Teraz problem powrócił. Może po przesiadce z 3.0.x na 3.1.x?
Na każdym z for goście mogą pisać nowe tematy i posty po podaniu dowolnego loginu i przejściu captcha. Nie wiem jak wyłączyć całkowicie gościowi (Anonymous) możliwość pisania i zakładania tematów.
Ma ktoś coś takiego u siebie? Jeśli tak, czy mógłby podesłać ustawienia użytkownika Anonymous z bazy?
UWAGA: W PHP wykryto krytyczne podatności, przez które Wasze strony/fora mogą zostać zhakowane! Dzisiaj mają być udostępnione poprawione wersje, warto monitorować i ustawić odpowiendie wersje PHP na swom serwerze.
Poprawki będę zawarte w wersjach PHP: 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35! Jeśli używacie jeszcze wersje PHP 7.x lub 8.0.x lub 8.1.x, należy, jak najszybciej podnieść wersje PHP i/lub zaktualizować swoje fora!
Do momentu wdrożenia oficjalnej łatki, ryzyko ataku można drastycznie zmniejszyć poprzez zmianę konfiguracji w pliku php.ini:
Ustaw: session.upload_progress.enabled = Off
Albo np., można zrobić: https://ma.ttias.be/php-cve-2026-109618 ... itigation/
Dla serwera Apache ustaw w pliku .htaccess
i/lub - nie testowałem
Dla nginx
_____________________________________________________
Pojawiła się nowa wersja systemu - phpBB 3.3.19. Ostatnie wydania (od wersji 3.3.17 do najnowszej) przynoszą kluczowe poprawki, które chronią Twoje forum przed zagrożeniami i dbają o spokój Twojej społeczności. Polecam nie odkładać tego na później, tyllko zaktualizować fora!
Polski pakiet językowy dla phpBB 3.3.19
Poprawki będę zawarte w wersjach PHP: 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35! Jeśli używacie jeszcze wersje PHP 7.x lub 8.0.x lub 8.1.x, należy, jak najszybciej podnieść wersje PHP i/lub zaktualizować swoje fora!
Do momentu wdrożenia oficjalnej łatki, ryzyko ataku można drastycznie zmniejszyć poprzez zmianę konfiguracji w pliku php.ini:
Ustaw: session.upload_progress.enabled = Off
Albo np., można zrobić: https://ma.ttias.be/php-cve-2026-109618 ... itigation/
Dla serwera Apache ustaw w pliku .htaccess
Kod: Zaznacz cały
RewriteEngine On
RewriteCond %{HTTP:Content-Type} multipart/form-data [NC]
RewriteRule ^ - [F]Kod: Zaznacz cały
<If "req('Content-Type') =~ /multipart/i">
Require all denied
</If>Dla nginx
Kod: Zaznacz cały
# http {} context, e.g. /etc/nginx/conf.d/block-multipart.conf
map $http_content_type $block_multipart {
default 0;
"~*multipart" 1;
}
# inside every server {} that passes requests to PHP, including default/catch-all servers
if ($block_multipart) {
return 403;
}Pojawiła się nowa wersja systemu - phpBB 3.3.19. Ostatnie wydania (od wersji 3.3.17 do najnowszej) przynoszą kluczowe poprawki, które chronią Twoje forum przed zagrożeniami i dbają o spokój Twojej społeczności. Polecam nie odkładać tego na później, tyllko zaktualizować fora!
Polski pakiet językowy dla phpBB 3.3.19
Pisanie postów przez gości
Pisanie postów przez gości
_________
forgen.pl
forgen.pl
Re: Pisanie postów przez gości
Zajrzyj w uprawnienia.
Odbierasz gością upr. pisania postów/tematów i tyle.
Musisz to ustawić dla każdego działu.
Odbierasz gością upr. pisania postów/tematów i tyle.
Musisz to ustawić dla każdego działu.
Re: Pisanie postów przez gości
Uprawnienia, to pierwsze co zacząłem sprawdzać.
Stworzyłem nowe role dla użytkowników, gości, itp.
W każdym z forów, w uprawnieniach, dla każdej grupy użytkowników, przpisałem odpowiednią rolę.
W szczególności, w uprawnieniach usera Anonymous powyłączałem wszystko (testowałem opcję NIE i opcję NIGDY) - bez rezultatów.
W ustawieniach for włączałem i wyłączałem opcję - Może pisać bez akceptacji - bez rezultatu - tzn. rezultat jest, że raz jest akceptacja i captcha, a raz nie ma i jest od razu okno pisania postu.
Weryfikowałem ustawienia Gości i Anonymous'a w podglądzie uprawnień (kółko ze strzałką) - niby wszystko na czerwono - a jednak gość może pisać.
Ręcznie zerowałem uprawnienia Anonymous w bazie. Zerowanie robiłem i na aktywnym forum i na wyłączonym, po wyczyszczeniu sesji i bufora.
Anonymous jest w grupie Goście.
I nic. Ani drgnie i żadnych zmian. Gość nadal może pisać. Ustawianie roli "Tylko czytanie" dla grupy i usera niczego nie zmienia. Jedyna zmiana widoczna jest po ustawieniu roli "Brak dostępu" bo wtedy gość nie widzi forum, no ale nie o to mi chodzi.
Stworzyłem nowe role dla użytkowników, gości, itp.
W każdym z forów, w uprawnieniach, dla każdej grupy użytkowników, przpisałem odpowiednią rolę.
W szczególności, w uprawnieniach usera Anonymous powyłączałem wszystko (testowałem opcję NIE i opcję NIGDY) - bez rezultatów.
W ustawieniach for włączałem i wyłączałem opcję - Może pisać bez akceptacji - bez rezultatu - tzn. rezultat jest, że raz jest akceptacja i captcha, a raz nie ma i jest od razu okno pisania postu.
Weryfikowałem ustawienia Gości i Anonymous'a w podglądzie uprawnień (kółko ze strzałką) - niby wszystko na czerwono - a jednak gość może pisać.
Ręcznie zerowałem uprawnienia Anonymous w bazie. Zerowanie robiłem i na aktywnym forum i na wyłączonym, po wyczyszczeniu sesji i bufora.
Anonymous jest w grupie Goście.
I nic. Ani drgnie i żadnych zmian. Gość nadal może pisać. Ustawianie roli "Tylko czytanie" dla grupy i usera niczego nie zmienia. Jedyna zmiana widoczna jest po ustawieniu roli "Brak dostępu" bo wtedy gość nie widzi forum, no ale nie o to mi chodzi.
_________
forgen.pl
forgen.pl
Re: Pisanie postów przez gości
Możesz podać dane admina i link do forum na PW to zajrzę?
Re: Pisanie postów przez gości
Próbowałeś ustawić zgodnie z tym poradnikiem?
http://wiki.phpbb3.pl/wiki/Sensowne_ust ... wnie%C5%84
http://wiki.phpbb3.pl/wiki/Sensowne_ust ... wnie%C5%84
Re: Pisanie postów przez gości
Nie, ale zakładałem role uprawnień globalnych i role na forach dla każdej posiadanej grupy z osobna.
Potem każdej grupie dałem nowe role.
Potem na każdym forum podałem role grupy w uprawnieniach. Operację powtórzyłem dla każdej grupy.
Dodatkowo indywidualnie dla Anonymous ustawiłem uprawnienia w forach i uprawnienia globalne.
Teraz:
Skasowałem z bazy Anonymous'a. Stworzyłem nowego. Przypisałem mu grupę w bazie, więc w PA posiadał już uprawnienia grupy.
Sytuacja wygląda tak https://www.dropbox.com/s/g818i5fm3kmq5 ... 4.jpg?dl=0
Nadal niezalogowany użytkownik może pisać posta.
Potem każdej grupie dałem nowe role.
Potem na każdym forum podałem role grupy w uprawnieniach. Operację powtórzyłem dla każdej grupy.
Dodatkowo indywidualnie dla Anonymous ustawiłem uprawnienia w forach i uprawnienia globalne.
Teraz:
Skasowałem z bazy Anonymous'a. Stworzyłem nowego. Przypisałem mu grupę w bazie, więc w PA posiadał już uprawnienia grupy.
Sytuacja wygląda tak https://www.dropbox.com/s/g818i5fm3kmq5 ... 4.jpg?dl=0
Nadal niezalogowany użytkownik może pisać posta.
_________
forgen.pl
forgen.pl
Re: Pisanie postów przez gości
Wyłączyłem wszystkie rozszerzenia.
Powróciła normalność!! Pisanie posta wymaga zalogowania.
Teraz pozostaje ustalić które rozszerzenie popsuło mi forum
Powróciła normalność!! Pisanie posta wymaga zalogowania.
Teraz pozostaje ustalić które rozszerzenie popsuło mi forum
_________
forgen.pl
forgen.pl
Re: Pisanie postów przez gości
Tak jak podejrzewałem, ale sprawdziłem to dokładnie.
Za błędy autoryzacji gości odpowiedzialny jest Ultimate Points 1.1.1
Dzięki Aviator za zaangażowanie!
Za błędy autoryzacji gości odpowiedzialny jest Ultimate Points 1.1.1
Dzięki Aviator za zaangażowanie!
_________
forgen.pl
forgen.pl
Re: Pisanie postów przez gości
Hmm, właśnie jak przeglądałem upr. u Ciebie to w nie których działach goście mogli przyznawać punkty, może tu tkwi problem.
Re: Pisanie postów przez gości
Chodzi Ci o coś takiego - https://www.dropbox.com/s/n3kz2df2ofv9c ... 5.jpg?dl=0 ?
Generalnie uprawnienia Ultimate Pionts dotyczą tylko tego, czy ktoś ma dostawać punkty za temat/post (i ile), czy mają mu byc punkty odejmowane (i ile).
Nie ma w tym rozszerzeniu mowy o uprawnieniach dostępu do forum a okazuje się, że włączenie tego ext (niezależnie od konfiguracji) zdejmuje z gości restrykcje na pisanie.
Jedyne wytłumaczenie tego ext to to, że jest to wersja dev. Zobaczymy, co powie autor. Awizowałem już błąd, jest potwierdzony przez innego usera.
Generalnie uprawnienia Ultimate Pionts dotyczą tylko tego, czy ktoś ma dostawać punkty za temat/post (i ile), czy mają mu byc punkty odejmowane (i ile).
Nie ma w tym rozszerzeniu mowy o uprawnieniach dostępu do forum a okazuje się, że włączenie tego ext (niezależnie od konfiguracji) zdejmuje z gości restrykcje na pisanie.
Jedyne wytłumaczenie tego ext to to, że jest to wersja dev. Zobaczymy, co powie autor. Awizowałem już błąd, jest potwierdzony przez innego usera.
_________
forgen.pl
forgen.pl
