REDAXO Forum

Liebe redaxo-User,

wir haben im Addon "MyEvents" eine SQL Injection im Get Parameter "myevents_id" entdeckt. Wer das Addon also im Produktiveinsatz hat und nicht administrativen Usern zur Verfügung stellt, sollte die Datei

Code: Alles auswählen

redaxo/src/addons/myevents/pages/event_add.php

an folgender Stelle fixen:

Code: Alles auswählen

$myevents_id            =  strip_tags(rex_request('myevents_id', 'string'));

Dies kann nach unserer Auffassung mit folgenden Parametern getan werden (beide Varianten getestet).

Code: Alles auswählen

$myevents_id            =  strip_tags(rex_request('myevents_id', 'int'));

oder

Code: Alles auswählen

$myevents_id            =  (int)strip_tags(rex_request('myevents_id', 'string'));

Cheerz!

Danke sehr!

https://github.com/wende60/myevents/issues/14

LG
Oliver

Da wir Redaxo selber in allen Projekten nutzen, gibt es keinen Grund sich zu bedanken

Und wenn wir unseren kleinen bescheidenen Teil zum Redaxo beitragen können, ist es mal an der Zeit das auch zu tun

REDAXO Forum

[Sicherheit] - SQL Injection in MyEvents Backend

[Sicherheit] - SQL Injection in MyEvents Backend

Re: [Sicherheit] - SQL Injection in MyEvents Backend

Re: [Sicherheit] - SQL Injection in MyEvents Backend