Hallo,
Danke für die Erklärung, macht Sinn. Ich habe auch noch etwas versch. Extensions getestet und komme zum gleichen Schluss. dam_frontend kommt der mm_dam_filelist am nächsten. Eine update auf V 0.80 sollte demnächst released werden, sprich die ext wird auch noch aktiv weiterentwickelt.
Werde trotzdem versuchen herauszufinden wie es mit mm_dam_filelist weitergeht. Gruss, Stefan
Zur Info:
Der Entwickler hat nun eine gefixte Version fertig die ich bei mir einsetze. Ich gehe davon aus dass die Ext wieder im TER zur Verfügung gestellt wird, sobald der Fix als OK befunden wird.
Super! Vielen Dank für die Info!
Hi Stefan,
wo hast du die gefixte Version her? Ich finde weder im TER noch im Repository auf http://forge.typo3.org/projects/extension-mm_dam_filelist etwas.
Danke für jede Info!
stefan72 schriebZur Info:
Der Entwickler hat nun eine gefixte Version fertig die ich bei mir einsetze. Ich gehe davon aus dass die Ext wieder im TER zur Verfügung gestellt wird, sobald der Fix als OK befunden wird.
Der Entwickler hat sie mir zugeschickt.
Daraufhin habe ich diese ans Security Team weitergeleitet um diese prüfen zu lassen. Leider kann der fix nicht als sicher angesehen werden, daher ist von der Benützung weiterhin (auch mit fix) abzuraten. Grüsse, Stefan
hallo,
danke für deine prompte antwort.
hat der entwickler dir den code unter vorbehalten geschickt oder darfst du den an mich weitergeben?
ich kannte die extension vor der security-warnung nicht und würde mir gerne den code ansehen, nur leider ist nirgens eine einigermassen aktuelle version zu finden.
lg
Hallo,
optimal wäre natürlich in diesem Zusammenhang zu wissen, um welche Lücke genau es sich handelt und was das Security Team zur Ablehnung veranlasst hat. Dann hätte man die Möglichkeit mitzuhelfen und ggf. Verbesserungsvorschläge zu machen.
Hier die Antwort:
For reviewing it would be nice to have a unified diff file because it makes it far easier to check the changes.
However the fix is not secure at all and the extension is still vulnurable to SQL Injections.
Ein weiterer Entwickler hat ebenfals versucht die Sache anzugene. Die Antwort vom Security Team:
Thanks for the patch. In general it looks OK.
However I fear that your patch does not completely resolve the issue.
If you look at execQuery() in class.tx_mmdamfilelist_pi1.php
Line 691: There is an unescaped $this->internal['this_dam_path_only'] which comes from filenames provided by editors (as far as I understood the code).
Line 731: $this->cattree->getAllChildIDs($baseCategoryID) is called. This method is in mm_bccmsbase extension where the value provided here is (guess what) passed untreated to a SQL query. $baseCategoryID in turn is part of $this->piVars['mode'] which then also leads to a SQLi
These are only two examples. I did not continue reviewing the extension any
further, so there might be more SQLi possibilities or even other security issues.I that we cannot recommend using this extension unless it gets a full security review.
Ich schlage vor dass ihr mit dem Entwickler die Vorgehensweise koordiniert.
Als Alternative bietet sich dam_frontend an, welche aktiv weiterentwickelt wird.
Vielen Dank dafür! Sobald ich in meinem Urlaub etwas Zeit freischaufeln kann, werde ich mal sehen, wie weit ich hier etwas machen kann. Würde dann auch den Entwickler kontaktieren. Etwaige Ergebnisse bzw. Informationen zum Vorgang werde ich dann hier posten.
Auch wenn das Thema schon etwas älter ist:
Wir haben eine Erweiterung entwickelt die mm_dam_filelist in Teilen ersetzen kann und auch bestehende Plugins von mm_dam_filelist nach dessen Deinstallation rendert:
Extension im Repository
Doku in englisch auf github
Doku auf deutsch bei uns
Vielleicht hilft es ja dem ein oder anderen! Über Feedback würden wir uns freuen.
Gruß Nabil