Русское сообщество fluxbb

alafin

Гость

Модуль Geshi

Подскажите плиз, срочно нужно подправить модуль geshi чтобы он не работал при простом теге [_code] и [_/code], а только если передан аргумент.

hcs

Гость

Re: Модуль Geshi

попробуй в парсере
$tmp2 = strpos(substr($text, $c_start+6), '[сode]');

заменить на

$tmp2 = false;

alafin

Гость

Re: Модуль Geshi

Все равно он интерпретирует html код и javascript. А это значит можно взломать форум((. Что делать нужна срочно помощь!

hcs

Гость

Re: Модуль Geshi

Для начала отключить мод.
Если все так серъезно, то надо написать разработчику. http://www.punres.org/viewtopic.php?id=1439
Этот мод?

Добавлено Wed Nov 15 19:46:11 2006 :
каким это способом у тебя выплняется скрипт внутри тэга? У меня стоит локально  Multi Syntax Highlight, ипользуется Geshi, и ничего подобного я сделать не могу

Slavik

Гость

Re: Модуль Geshi

Хм, прикольно, помню на одном форуме многие повеселились Но админ быстро закрыл дыру и сказал что отсубмитил багу разработчику. Там, насколько я помню, если не указан язык, то можно написать что-то вроде этого: <script>Alert("Coolhatsking attempt")</script>

alafin

Гость

Re: Модуль Geshi

да, вот такие проблемы((((

hcs

Гость

Re: Модуль Geshi

Я пишу это, не указывая язык и никакого алерта не появляется.

artoodetoo

Гость

Re: Модуль Geshi

Все равно он интерпретирует html код и javascript. А это значит можно взломать форум((. Что делать нужна срочно помощь!

не понял! если он его интерпретирует, значит html код будет выдаваться отэскейпленный и с подсвеченным синтаксисом. вот если бы он НЕ интерпретировался - тогда действительно плохо. поясни, пожалуйста, что ты имел в виду на самом деле.

alafin

Гость

Re: Модуль Geshi

Вообщем, при вставке кода в тег code(без параметров) html со вставками javascript(опасно!) весь код интерпретируется. А если  передать параметр, к примеру, html, то код не интерпретируется а просто выдается подсвеченным.

artoodetoo

Гость

Re: Модуль Geshi

попробовал geshi в составе сборки готовой сборки punbb pack - действительно дыра присутствует!

<b>strong</b>
йцукенг <script>document.write('сцуко');</script>

выглядит у меня как

strong
йцукенг сцуко

на этом форуме, как видно, все нормально. версия multisyntax другая?

Редактировался artoodetoo (2006-11-17 13:30:55)

hcs

Гость

Re: Модуль Geshi

Здесь пока нет geshi