Jak usunąć użytkownika który zarejestrował się z zastosowaniem znaków CRLF w nazwie?
Wygląda to w powiadomieniu email tak:
Konto o nazwie "MIKEY
0" zostało deaktywowane lub nowo utworzone, ...
Nie wiem jak wprowadzić nazwę tego użytkownika w panelu Administracji Użytkownikami by go usunąć.
UWAGA: W PHP wykryto krytyczne podatności, przez które Wasze strony/fora mogą zostać zhakowane! Dzisiaj mają być udostępnione poprawione wersje, warto monitorować i ustawić odpowiendie wersje PHP na swom serwerze.
Poprawki będę zawarte w wersjach PHP: 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35! Jeśli używacie jeszcze wersje PHP 7.x lub 8.0.x lub 8.1.x, należy, jak najszybciej podnieść wersje PHP i/lub zaktualizować swoje fora!
Do momentu wdrożenia oficjalnej łatki, ryzyko ataku można drastycznie zmniejszyć poprzez zmianę konfiguracji w pliku php.ini:
Ustaw: session.upload_progress.enabled = Off
Albo np., można zrobić: https://ma.ttias.be/php-cve-2026-109618 ... itigation/
Dla serwera Apache ustaw w pliku .htaccess
i/lub - nie testowałem
Dla nginx
_____________________________________________________
Pojawiła się nowa wersja systemu - phpBB 3.3.19. Ostatnie wydania (od wersji 3.3.17 do najnowszej) przynoszą kluczowe poprawki, które chronią Twoje forum przed zagrożeniami i dbają o spokój Twojej społeczności. Polecam nie odkładać tego na później, tyllko zaktualizować fora!
Polski pakiet językowy dla phpBB 3.3.19
Poprawki będę zawarte w wersjach PHP: 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35! Jeśli używacie jeszcze wersje PHP 7.x lub 8.0.x lub 8.1.x, należy, jak najszybciej podnieść wersje PHP i/lub zaktualizować swoje fora!
Do momentu wdrożenia oficjalnej łatki, ryzyko ataku można drastycznie zmniejszyć poprzez zmianę konfiguracji w pliku php.ini:
Ustaw: session.upload_progress.enabled = Off
Albo np., można zrobić: https://ma.ttias.be/php-cve-2026-109618 ... itigation/
Dla serwera Apache ustaw w pliku .htaccess
Kod: Zaznacz cały
RewriteEngine On
RewriteCond %{HTTP:Content-Type} multipart/form-data [NC]
RewriteRule ^ - [F]Kod: Zaznacz cały
<If "req('Content-Type') =~ /multipart/i">
Require all denied
</If>Dla nginx
Kod: Zaznacz cały
# http {} context, e.g. /etc/nginx/conf.d/block-multipart.conf
map $http_content_type $block_multipart {
default 0;
"~*multipart" 1;
}
# inside every server {} that passes requests to PHP, including default/catch-all servers
if ($block_multipart) {
return 403;
}Pojawiła się nowa wersja systemu - phpBB 3.3.19. Ostatnie wydania (od wersji 3.3.17 do najnowszej) przynoszą kluczowe poprawki, które chronią Twoje forum przed zagrożeniami i dbają o spokój Twojej społeczności. Polecam nie odkładać tego na później, tyllko zaktualizować fora!
Polski pakiet językowy dla phpBB 3.3.19
Jak usunąć użytkownika - CRLF problem
Re: Jak usunąć użytkownika - CRLF problem
Wejdź w profil tego użytkownika (po kliknięciu w nazwę użytkownika np. na liście użytkowników). Obok jego nazwy znajdziesz odnośnik Zarządzaj. Dalej będziesz miał już dostępną opcję usunięcia takiego użytkownika.
-
hibernatus
- Posty: 3
- Rejestracja: 15 marca 2009, 21:38
Re: Jak usunąć użytkownika - CRLF problem
Dziękuję za tę sugestię, ale niestety to jest jakaś stara wersja phpBB i nie ma w niej dostępu poprzez listę użytkowników. Zarządanie użytkownikami odbywa się poprzez polecenia:
Użytkownicy > Zarządzaj:
- Pokaż użytkownika (należy wpisać nazwę)
- Znajdź użytkownika
Jeśli skorzystam z polecenia "Znajdź użytkownika" wpisując część nazwy np. MIK* to zostanie on znaleziony i wyświetlona zostanie jego nazwa "MIKEY 0" oraz opcja wybierz. Jednak polecenie wybierz nie zadziała prawidłowo - prawdopodobnie nie zawiera tych samych znaków (brak znaku/ów CR LF) co oryginalnie zarejestrowana nazwa użytkownika i wyświetli się komunikat "Przepraszamy, ale ten użytkownik nie istnieje".
By usunąć tego użytkownika trzeba by wpisać nazwę tak, jak zrobił to rejestrujący, czyli ze znakiem/znakami CF LF. Jak to zrobić?
Czy może ten użytkownik jest nieusuwalny?
Użytkownicy > Zarządzaj:
- Pokaż użytkownika (należy wpisać nazwę)
- Znajdź użytkownika
Jeśli skorzystam z polecenia "Znajdź użytkownika" wpisując część nazwy np. MIK* to zostanie on znaleziony i wyświetlona zostanie jego nazwa "MIKEY 0" oraz opcja wybierz. Jednak polecenie wybierz nie zadziała prawidłowo - prawdopodobnie nie zawiera tych samych znaków (brak znaku/ów CR LF) co oryginalnie zarejestrowana nazwa użytkownika i wyświetli się komunikat "Przepraszamy, ale ten użytkownik nie istnieje".
By usunąć tego użytkownika trzeba by wpisać nazwę tak, jak zrobił to rejestrujący, czyli ze znakiem/znakami CF LF. Jak to zrobić?
Czy może ten użytkownik jest nieusuwalny?
Re: Jak usunąć użytkownika - CRLF problem
Tak podejrzewałem, że może to być starsza wersja phpBB, potrzebna mi jest tylko wiedza jaka dokładnie (powinieneś mieć taką informację w panelu administracji). Zawsze można go bezpośrednio usunąć w bazie danych i przede wszystkim podejrzeć wartość username. Możesz to zrobić chociażby przez phpMyAdmina.
-
hibernatus
- Posty: 3
- Rejestracja: 15 marca 2009, 21:38
Re: Jak usunąć użytkownika - CRLF problem
Dziękuję, skorzystałem z rady i usunąłem tego użytkownika bezpośrednio z bazy za pomocą phpMyAdmina.medeish pisze:Zawsze można go bezpośrednio usunąć w bazie danych i przede wszystkim podejrzeć wartość username. Możesz to zrobić chociażby przez phpMyAdmina.
Była to jedyne skuteczne rozwiązanie, bo nawet po podejrzeniu nazwy w bazie, która wyglądała tak:
MICKEY
0
nie byłem wstanie wprowadzić jej z poziomu panelu administracji użytkownikami tak, by zgadzała się z nazwą użytkownika w bazie.
