Changeset 112938 in spip-zone

Timestamp:

Dec 19, 2018, 8:37:46 AM (2 years ago)

Author:

maieul@…

Message:

toujours sur la securité du test dans afficher_si : empecher d'executer des fonctions sql en une seul ligne

Location:

_plugins_/saisies/trunk

Files:

• inc/saisies_afficher.php (modified) (1 diff)
• paquet.xml (modified) (1 diff)
• tests/saisies_afficher/saisies_verifier_securite_afficher_si.php (modified) (1 diff)

_plugins_/saisies/trunk/inc/saisies_afficher.php

@@ -605 +605 @@
  */
 function saisies_verifier_securite_afficher_si($condition) {
-        // pas de point virgule ni de $, a priori c'est safe (une seule instruction executable, or pour modifier la base, envoyer un mail, etc, il en faut au moins 2)
-        if (!strstr($condition, ";") and !strstr($condition, "$")) {
+        $interdits = array(";","$","sql","spip");
+        $presence = 0;
+        foreach ($interdits as $int) {
+                if (strstr($condition, $int)) {
+                        $presence++;
+                }
+        }
+        // pas de chaine interdite, a priori safe
+        if (!$presence) {
                 return true;
         }
 
-        // point virgule ou dollar sans guillement? ca pue
-        if (strstr($condition, '"') == false and strstr($condition, "'") == false) {
+        // pas de guillemet ou de @, alors ca pue
+        if (strstr($condition, '"') == false and strstr($condition, "'") == false and strstr($condition, "@") == false) {
                 return false;
         }
 
-        $regexp = "#(?<guillemet>(^\\\)?(\"|'))(.*)(\k<guillemet>)#mU"; // trouver tout ce qu'il y entre guillemet, sauf si les guillemets sont échapés
+        $regexp = "#(?<guillemet>(^\\\)?(\"|'|@))(.*)(\k<guillemet>)#mU"; // trouver tout ce qu'il y entre guillemet, sauf si les guillemets sont échapés
         $condition = preg_replace($regexp, "", $condition);//Supprimer tout ce qu'il y a entre guillement
 
-        // il reste encore des $ ou des ; alors qu'on a enlevé les guillemets, ca pue vraiment
-        if (strstr($condition, ";") or strstr($condition, "$")) {
-                return false;
+        // il reste encore des caractères interdit alors qu'on a enlevé les guillemets, ca pue vraiment
+        foreach ($interdits as $int) {
+                if (strstr($condition, $int)) {
+                        return false;
+                }
         }
         //Sinon c'est que c'est bon

_plugins_/saisies/trunk/paquet.xml

@@ -2 +2 @@
         prefix="saisies"
         categorie="outil"
-        version="3.8.7"
+        version="3.8.8"
         etat="stable"
         compatibilite="[3.0.0;3.2.*]"

_plugins_/saisies/trunk/tests/saisies_afficher/saisies_verifier_securite_afficher_si.php

@@ -73 +73 @@
                                 0 => false,
                                 1 => '@champ1@ == "1"; @champ2@ =="2"'
+                        ),
+                        array (
+                                0 => true,
+                                1 => '@sql_insert@ == "1"'
+                        ),
+                        array (
+                                0 => false,
+                                1 => 'sql_insert() == "1"'
                         )
                 );