OpenID Security Update for IP.Board 3.0.2

[DawPi]

Łatka bezpieczeństwa odnośnie OpenID dla IP.Board 3.0.2

Wykryliśmy, że łączenie z OpenID nie jest do końca zabezpieczone. Ten błąd występuje tylko na stronach z włączonym logowaniem za pomocą OpenID.

Zabezpieczenie forum IP.Board

Istnieją dwie metody na zabezpieczenie użytkowników Twojego forum.

Metoda 1: wyłączenie OpenID

Najprostsze rozwiązanie to wyłączenie logowania za pomocą OpenID. Dodatkowo jest to domyślnie wyłączone w IP.Board, więc jeśli nie włączałeś tego na swoim forum nie masz się czym przejmować. Screen przedstawia, co powinieneś otrzymać w ACP:

Metoda 2: wysyłka plików

Jeśli na Twoim forum użytkownicy korzystają z logowania za pomocą OpenId jedyne, co musisz zrobić to wysłać zabezpieczone pliki na serwer FTP. W tym celu pobierz poniższy załącznik, rozpakuj i wyślij do głównego folderu forum.

260809.zip

Manual zmian

Otwórz plik: admin/sources/loginauth/openid/auth.php

Linia: 371

Popraw na:

if( $check['email'] )
	{
		$this->member_data = IPSMember::load( $check['email'], 'extendedProfile,groups' );
	}
	else
	{
		$this->member_data = array( 'member_id' => 0 );
	}

[Gexem]

Dzięki za info o tym sec. update

Edytowane 27 Sierpnia 2009 przez Gexem