| |
| 2.5, Xasd (ok), 12:45, 20/06/2013 [^] [^^] [^^^] [ответить]
| +7 +/– |
 PHP -- это не причина -- а возможное следствие. :)
а причина -- кривые руки. :)
[суть: не все PHP-программисты криворукие.. но зачустую кривизна рук заставляет использовать именно PHP :)]
такие же криворукие -- и да же вообще без серверного кода (без PHP) -- делают ошибки на ровном месте (XSS) , а потом не хотят призновать что в их коде есть XSS, даже когда на строчку с XSS показывают пальцем.
вот очередной пример криворукости: на этот раз облажался (и до сох пор лажает) автор популярнейшего компонента -- fancyBox:
http://fancyapps-fancybox-escaping-bugfix.github.io/demo/demo-1/demo-1.html
https://github.com/fancyapps/fancyBox/issues/615
автор компонента fancyBox -- думает что если он пишет код на Javascript (а не на PHP), то значит Javascript освобождает автора от обязанности экранировать значения HTML-атрибутов в случаях когда происходит формирование HTML-кода напрямую из текста (а не через Document Object Model).
бывают же идиоты которые вдолбили себе в голову что XSS это сугубо серверная ошибка -- и не хотят даже пару раз поразмыслить головой.
| | |
|
| |
| 2.8, Xasd (ok), 13:18, 20/06/2013 [^] [^^] [^^^] [ответить]
| +4 +/– | |
> Сам WordPress - это одна большая уязвимость.
разве?
в новости же говорится лишь про плугины к нему.
аналогия:
если Firefox обвешать говнорасширениями -- то он станет тупить и тормозить...
...но это же НЕ значит что Firefox это тупая и тормознутая программа :) .
| | |
|
| 1.10, arisu (ok), 13:42, 20/06/2013 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 > Компания Checkmarx провела анализ безопасности 50 наиболее популярных плагинов
> к ориентированной на создание блогов системе управления web-контентом WordPress.
…в результате исследователи поразбивали лица фэйспалмами и смогли хором произнести только одно слово: «пи…ец!»
| | |
| 1.11, lucentcode (ok), 13:43, 20/06/2013 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 А чего вы ожидали от плагинов, написанных к одному из самых дырявых движков в Сети. Сама архитектура Wordpress крайне уродлива, и способствует написанию быдлокода. Добавьте к этому ещё и низкий профессиональный уровень многих людей, которые пишут расширения для этого движка - и всё становится ясно. Кто хочет надёжности, тому нужен Drupal(правда прийдётся разориться на хостинг).
| | |
| |
| 2.12, emg81 (ok), 14:18, 20/06/2013 [^] [^^] [^^^] [ответить]
| +/– |
 "разориться"? :-D
ну, наверное, если посещаемость свыше 10000 чел / день, то да, а на скромные сайты из нескольких десятков анонимусов можно по 20-50 коп. в день тратить
| | |
|
| |
| |
| 3.25, Crazy Alex (ok), 19:49, 20/06/2013 [^] [^^] [^^^] [ответить]
| +/– |
 Я бы сказал, что анонимы являются подвидом одной из двух указанных категорий. Блин, неужели так сложно ник зарегистрировать? Хрен поймешь даже, сколько анонимов в беседе участвуют, а уж кому отвечаешь - и подавно.
| | |
| |
| 4.26, arisu (ok), 21:25, 20/06/2013 [^] [^^] [^^^] [ответить]
| +1 +/– |
да ну. хороший анонимус от другого хорошего анонимуса отличается. а если не отличаются, то без разницы, сколько дураков в стопке.
| | |
| |
| |
| 6.31, Аноним (-), 12:19, 21/06/2013 [^] [^^] [^^^] [ответить]
| +/– | |
> Конечно! Важно сколько в ней зарегистрированных дураков!
И арису с буратиной возглавляют колонну этих самых особей :))))))))))))))))))))
| | |
| |
| 7.32, бедный буратино (ok), 12:40, 21/06/2013 [^] [^^] [^^^] [ответить]
| +/– |
 >> Конечно! Важно сколько в ней зарегистрированных дураков!
> И арису с буратиной возглавляют колонну этих самых особей :))))))))))))))))))))
Смотрю, буратино уже вышел из-под контроля.
| | |
|
|
|
|
|
|
| 1.17, Нанобот (?), 15:17, 20/06/2013 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
в самом отчёте пишут "Checkmarx ran an automated static code analysis scan against the most popular plugins".
иными словами, у них есть некий софт для автоматического поиска багов, только делиться они им не хотят. вместо этого предлагают всякие бесполезные в реальном мире решения, вроде "ужесточить критерии приёма плагинов"
| | |
| |
| 2.18, arisu (ok), 15:46, 20/06/2013 [^] [^^] [^^^] [ответить]
| +/– |
они предлагают нормальные решения. невозможно при помощи автоматики решить проблему кизза в голове.
| | |
| 2.23, 80е (?), 19:03, 20/06/2013 [^] [^^] [^^^] [ответить]
| +/– |
> в самом отчёте пишут "Checkmarx ran an automated static code analysis scan
> against the most popular plugins".
> иными словами, у них есть некий софт для автоматического поиска багов, только
> делиться они им не хотят. вместо этого предлагают всякие бесполезные в
> реальном мире решения, вроде "ужесточить критерии приёма плагинов"
иными словами, их «code analysis scan» может оказаться false positive и к определению уязвимостей отношения не иметь.
| | |
| |
| 3.24, Andrey Mitrofanov (?), 19:45, 20/06/2013 [^] [^^] [^^^] [ответить]
| +/– |
> иными словами, их «code analysis scan» может оказаться false positive и к
> определению уязвимостей отношения не иметь.
простыми словами, разговоры в пользу бедных продавцов неоткры^Wзакрытого как обычно оказываются маркетинговым булшитом
| | |
| |
| 4.27, 80е (?), 22:28, 20/06/2013 [^] [^^] [^^^] [ответить]
| +/– |
> простыми словами, разговоры в пользу бедных продавцов
> неоткры^Wзакрытого как обычно оказываются маркетинговым булшитом
Как минимум, купить этот товар Checkmarx предлагает.
| | |
| |
| 5.30, Andrey Mitrofanov (?), 12:07, 21/06/2013 [^] [^^] [^^^] [ответить]
| +/– |
>> как обычно оказываются маркетинговым булшитом
> Как минимум, купить этот товар Checkmarx предлагает.
""маркетинговым булшитом с целью развода не деньги""
Принимается!
| | |
|
|
|
|
| 1.20, Sylvia (ok), 17:26, 20/06/2013 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 список (в надежде авторов на исправление ) открыто не оглашают? а жаль, я вот думаю что быстро не исправятся, даже сами вордпрессы не чешутся совсем с исправлением CVE-2013-2173 (DDOS на защищенные паролем блоги), надо бы им "задать амплитуду"
| | |
| |
| 2.29, Аноним (-), 10:38, 21/06/2013 [^] [^^] [^^^] [ответить]
| +/– |
вот и приходится нам, админам, самим проверять тот софт, что используем
| | |
|
|
