UWAGA: W PHP wykryto krytyczne podatności, przez które Wasze strony/fora mogą zostać zhakowane! Dzisiaj mają być udostępnione poprawione wersje, warto monitorować i ustawić odpowiendie wersje PHP na swom serwerze.

Poprawki będę zawarte w wersjach PHP: 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35! Jeśli używacie jeszcze wersje PHP 7.x lub 8.0.x lub 8.1.x, należy, jak najszybciej podnieść wersje PHP i/lub zaktualizować swoje fora!

Do momentu wdrożenia oficjalnej łatki, ryzyko ataku można drastycznie zmniejszyć poprzez zmianę konfiguracji w pliku php.ini:
Ustaw: session.upload_progress.enabled = Off

Albo np., można zrobić: https://ma.ttias.be/php-cve-2026-109618 ... itigation/

Dla serwera Apache ustaw w pliku .htaccess

Kod: Zaznacz cały

RewriteEngine On
RewriteCond %{HTTP:Content-Type} multipart/form-data [NC]
RewriteRule ^ - [F]
i/lub - nie testowałem

Kod: Zaznacz cały

<If "req('Content-Type') =~ /multipart/i">
    Require all denied
</If>

Dla nginx

Kod: Zaznacz cały

# http {} context, e.g. /etc/nginx/conf.d/block-multipart.conf
map $http_content_type $block_multipart {
    default       0;
    "~*multipart" 1;
}

# inside every server {} that passes requests to PHP, including default/catch-all servers
if ($block_multipart) {
    return 403;
}
_____________________________________________________

Pojawiła się nowa wersja systemu - phpBB 3.3.19. Ostatnie wydania (od wersji 3.3.17 do najnowszej) przynoszą kluczowe poprawki, które chronią Twoje forum przed zagrożeniami i dbają o spokój Twojej społeczności. Polecam nie odkładać tego na później, tyllko zaktualizować fora!

Polski pakiet językowy dla phpBB 3.3.19

Uprawnienia "ręcznie" stworzonej strony dla określonej grupy

Forum przeznaczone na rozmowy między autorami modyfikacji i inne pytania związane z poważniejszą ingerencją w kod phpBB 3.0.x.
Awatar użytkownika
Hiro
Posty: 33
Rejestracja: 24 stycznia 2009, 18:41

Uprawnienia "ręcznie" stworzonej strony dla określonej grupy

Post autor: Hiro » 27 lipca 2013, 08:12

Witam serdecznie,
Zastanawiam się nad pewnym problemem. Otóż chcę utworzyć nową podstronę forum z "niestandardową" zawartością (własną), w stylu www.alias.com/nowastrona.php i nadać dostęp do niej tylko użytkownikom należącym do określonej grupy, na przykład Administratorzy.
Czy ktoś z Forumowiczów zna sposób na osiągnięcie tego celu? Czy jest to możliwe stosując tylko składnię logiczną w szablonie, zamiast dokonywać edycji w php?

Pozdrawiam

Edit: Może niedokładnie się wyraziłem, chodzi o to żeby ukryć przed użytkownikami nie należącymi do tej grupy link i w razie potrzeby wyświetlić komunikat o braku dostępu. :)

jaroslw
Zasłużony
Posty: 4524
Rejestracja: 10 grudnia 2005, 18:48
Kontakt:

Re: Uprawnienia "ręcznie" stworzonej strony dla określonej g

Post autor: jaroslw » 27 lipca 2013, 11:50

Konieczne będzie również dodanie pliku PHP. Całkiem ładnie opisują to te tutoriale:
https://wiki.phpbb.com/Tutorial.Adding_pages
https://wiki.phpbb.com/Practical.Add_custom_page

nowastrona.php:

Kod: Zaznacz cały

<?php

define('IN_PHPBB', true);
$phpbb_root_path = (defined('PHPBB_ROOT_PATH')) ? PHPBB_ROOT_PATH : './';
$phpEx = substr(strrchr(__FILE__, '.'), 1);
include($phpbb_root_path . 'common.' . $phpEx);

// Start session management
$user->session_begin();
$auth->acl($user->data);
$user->setup();

// Interesuje Cię poniższy fragment
if (!$auth->acl_get('a_'))
{
	trigger_error('NOT_AUTHORISED');
}

page_header('Title Here');

$template->set_filenames(array(
    'body' => 'nowastrona_body.html',
));

page_footer();

?>
styles/nazwa_stylu/template/nowastrona_body.html:

Kod: Zaznacz cały

<!-- INCLUDE overall_header.html -->

<h2>To wyświetli się tylko administratorom</h2>

<div class="panel">
   <div class="inner"><span class="corners-top"><span></span></span>

   <div class="content">
      <p>
         Content in here.
      </p>
   </div>

   <span class="corners-bottom"><span></span></span></div>
</div>

<!-- INCLUDE overall_footer.html -->
Pobierz styl: we_universal • we_clearblue
Nowości i aktualizacje: Facebook • Google+ • Twitter

Zablokowany

Wróć do „Dla deweloperów”