Wersja phpBB:3.0.11
Hosting, na którym zainstalowane jest forum:home.pl
Forum było instalowane od zera
Zainstalowane modyfikacje:brak
Kiedy pojawił się problem:marzec 2013
Na forum phpbb3, straciłem część uprawnień.
Gdy wchodzę w zarządzanie użytkownikami -> uprawnienia, jest pokazany stan faktyczny że nie mam uprawnień użytkownika.
Po wejściu w Globalne uprawnienia użytkowników uprawnienia są wszystkie, mimo że tak nie jest.
Utworzyłem nowego użytkownika nadałem mu wszelkie prawa admina i moderatora i skopiowałem uprawnienia z "user_permissions". Udało się ale admin nie miał dostępu do for. Niestety po nadaniu uprawnień choćby do jednego forum czy działu,problem powraca, ale tylko na tym koncie admina; na drugim jest ok.
Spróbowałem inaczej:utworzyłem kolejne konto ale na podstawie starego w bazie danych jako nowy rekord.Niestety nowy użytkownik nie miał praw moderatora i użytkownika ale miał prawa admina.
Problem się pojawił po utworzeniu nowej grupy i nadaniu praw lidera ale w logu nie nic na temat utraty uprawnień.
Grupa nie była domyślna dla członka wiec nie mógł przejąć jej uprawnień. Obecnie admin nie jest członkiem żadnej grupy oprócz grupy administratorów.
Podobny problem wystąpił na testowym forum.
Jak rozwiązać ten problem?
Obecnie próbuję naprawić problem na lokalnym serwerze Movamp w którym utworzyłem kopię forum w celu rozwiązanie problemu.
UWAGA: W PHP wykryto krytyczne podatności, przez które Wasze strony/fora mogą zostać zhakowane! Dzisiaj mają być udostępnione poprawione wersje, warto monitorować i ustawić odpowiendie wersje PHP na swom serwerze.
Poprawki będę zawarte w wersjach PHP: 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35! Jeśli używacie jeszcze wersje PHP 7.x lub 8.0.x lub 8.1.x, należy, jak najszybciej podnieść wersje PHP i/lub zaktualizować swoje fora!
Do momentu wdrożenia oficjalnej łatki, ryzyko ataku można drastycznie zmniejszyć poprzez zmianę konfiguracji w pliku php.ini:
Ustaw: session.upload_progress.enabled = Off
Albo np., można zrobić: https://ma.ttias.be/php-cve-2026-109618 ... itigation/
Dla serwera Apache ustaw w pliku .htaccess
i/lub - nie testowałem
Dla nginx
_____________________________________________________
Pojawiła się nowa wersja systemu - phpBB 3.3.19. Ostatnie wydania (od wersji 3.3.17 do najnowszej) przynoszą kluczowe poprawki, które chronią Twoje forum przed zagrożeniami i dbają o spokój Twojej społeczności. Polecam nie odkładać tego na później, tyllko zaktualizować fora!
Polski pakiet językowy dla phpBB 3.3.19
Poprawki będę zawarte w wersjach PHP: 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35! Jeśli używacie jeszcze wersje PHP 7.x lub 8.0.x lub 8.1.x, należy, jak najszybciej podnieść wersje PHP i/lub zaktualizować swoje fora!
Do momentu wdrożenia oficjalnej łatki, ryzyko ataku można drastycznie zmniejszyć poprzez zmianę konfiguracji w pliku php.ini:
Ustaw: session.upload_progress.enabled = Off
Albo np., można zrobić: https://ma.ttias.be/php-cve-2026-109618 ... itigation/
Dla serwera Apache ustaw w pliku .htaccess
Kod: Zaznacz cały
RewriteEngine On
RewriteCond %{HTTP:Content-Type} multipart/form-data [NC]
RewriteRule ^ - [F]Kod: Zaznacz cały
<If "req('Content-Type') =~ /multipart/i">
Require all denied
</If>Dla nginx
Kod: Zaznacz cały
# http {} context, e.g. /etc/nginx/conf.d/block-multipart.conf
map $http_content_type $block_multipart {
default 0;
"~*multipart" 1;
}
# inside every server {} that passes requests to PHP, including default/catch-all servers
if ($block_multipart) {
return 403;
}Pojawiła się nowa wersja systemu - phpBB 3.3.19. Ostatnie wydania (od wersji 3.3.17 do najnowszej) przynoszą kluczowe poprawki, które chronią Twoje forum przed zagrożeniami i dbają o spokój Twojej społeczności. Polecam nie odkładać tego na później, tyllko zaktualizować fora!
Polski pakiet językowy dla phpBB 3.3.19
Brak uprawnień mimo ustawienia i rozbieżności w PA.
Brak uprawnień mimo ustawienia i rozbieżności w PA.
https://kapitanweb.eu/ Tanie strony internetowe
