Hallo,
nachdem ich nun ein paar Extensions durchprobiert hatte wie z.B. ce_gallery (zu rudimentär), dam_downloads (unzureichend), etc. bin ich mit dam_frontend am besten bedient.
dam_frontend bietet den gewünschten Funktionsumfang und ist recht flexibel durch die Anpassungsmöglichkeiten via Template und Typoscript. So habe ich die normale tabellarische Auflistung in eine galerieartigere Ansicht geändert und dort via Typoscript Thumbnails generieren lassen.
Die Auswahl der gewünschten DAM-Felder, die mit ausgegeben werden sollen via Templatemarker funktioniert auch bestens, so dass man auch bei den dargestellten Informationen sehr flexibel ist.
Daher mein Fazit an dieser Stelle: dam_frontend
Was den Verbleib von unsicheren Extensions angeht: Wenn du die Extension im Extensionmanager deinstallierst, sind ja immer noch die PHP-Dateien im EXT-Ordner und somit von außen zumindest aufrufbar. Dies könnte u.U. auch für eine Attacke genutzt werden (auch wenn es in den meisten Fällen bei einer PHP-Fehlermeldung bleiben sollte).
Es ist immer besser alle Bestandteile eines unsicheren Programms zu entfernen als Reste mit möglichem Gefährdungspotential zu erhalten, die man ohnehin nicht nutzt.
Grüße
Hallo,
Danke für die Erklärung, macht Sinn. Ich habe auch noch etwas versch. Extensions getestet und komme zum gleichen Schluss. dam_frontend kommt der mm_dam_filelist am nächsten. Eine update auf V 0.80 sollte demnächst released werden, sprich die ext wird auch noch aktiv weiterentwickelt.
Werde trotzdem versuchen herauszufinden wie es mit mm_dam_filelist weitergeht. Gruss, Stefan
Zur Info:
Der Entwickler hat nun eine gefixte Version fertig die ich bei mir einsetze. Ich gehe davon aus dass die Ext wieder im TER zur Verfügung gestellt wird, sobald der Fix als OK befunden wird.
Super! Vielen Dank für die Info!
Hi Stefan,
wo hast du die gefixte Version her? Ich finde weder im TER noch im Repository auf http://forge.typo3.org/projects/extension-mm_dam_filelist etwas.
Danke für jede Info!
stefan72 schrieb
Zur Info:
Der Entwickler hat nun eine gefixte Version fertig die ich bei mir einsetze. Ich gehe davon aus dass die Ext wieder im TER zur Verfügung gestellt wird, sobald der Fix als OK befunden wird.
Der Entwickler hat sie mir zugeschickt.
Daraufhin habe ich diese ans Security Team weitergeleitet um diese prüfen zu lassen. Leider kann der fix nicht als sicher angesehen werden, daher ist von der Benützung weiterhin (auch mit fix) abzuraten. Grüsse, Stefan
hallo,
danke für deine prompte antwort.
hat der entwickler dir den code unter vorbehalten geschickt oder darfst du den an mich weitergeben?
ich kannte die extension vor der security-warnung nicht und würde mir gerne den code ansehen, nur leider ist nirgens eine einigermassen aktuelle version zu finden.
lg
Hallo,
optimal wäre natürlich in diesem Zusammenhang zu wissen, um welche Lücke genau es sich handelt und was das Security Team zur Ablehnung veranlasst hat. Dann hätte man die Möglichkeit mitzuhelfen und ggf. Verbesserungsvorschläge zu machen.
Hier die Antwort:
For reviewing it would be nice to have a unified diff file because it makes it far easier to check the changes.
However the fix is not secure at all and the extension is still vulnurable to SQL Injections.
Ein weiterer Entwickler hat ebenfals versucht die Sache anzugene. Die Antwort vom Security Team:
Thanks for the patch. In general it looks OK.
However I fear that your patch does not completely resolve the issue.
If you look at execQuery() in class.tx_mmdamfilelist_pi1.php
Line 691: There is an unescaped $this->internal['this_dam_path_only'] which comes from filenames provided by editors (as far as I understood the code).
Line 731: $this->cattree->getAllChildIDs($baseCategoryID) is called. This method is in mm_bccmsbase extension where the value provided here is (guess what) passed untreated to a SQL query. $baseCategoryID in turn is part of $this->piVars['mode'] which then also leads to a SQLi
These are only two examples. I did not continue reviewing the extension any
further, so there might be more SQLi possibilities or even other security issues.
I that we cannot recommend using this extension unless it gets a full security review.
Ich schlage vor dass ihr mit dem Entwickler die Vorgehensweise koordiniert.
Als Alternative bietet sich dam_frontend an, welche aktiv weiterentwickelt wird.
Vielen Dank dafür! Sobald ich in meinem Urlaub etwas Zeit freischaufeln kann, werde ich mal sehen, wie weit ich hier etwas machen kann. Würde dann auch den Entwickler kontaktieren. Etwaige Ergebnisse bzw. Informationen zum Vorgang werde ich dann hier posten.
Auch wenn das Thema schon etwas älter ist:
Wir haben eine Erweiterung entwickelt die mm_dam_filelist in Teilen ersetzen kann und auch bestehende Plugins von mm_dam_filelist nach dessen Deinstallation rendert:
Extension im Repository
Doku in englisch auf github
Doku auf deutsch bei uns
Vielleicht hilft es ja dem ein oder anderen! Über Feedback würden wir uns freuen.
Gruß Nabil