Тип уязвимости: Проведение XSS атаки

Степень тяжести: средняя
Исправление предназначено для версий 4.1 и 4.2

Метод исправления:

Файл engine/modules/vote.php

найти

if (isset ($_REQUEST['vote_id'])) $vote_id = mysql_escape_string($_REQUEST['vote_id']); else $vote_id = "";

заменить на

if (isset ($_REQUEST['vote_id'])) $vote_id = intval($_REQUEST['vote_id']); else $vote_id = 0;

Далее найти

  if ($vote_id == "")

заменить на

  if (!$vote_id OR $vote_info[$vote_id]['id'] == "")

За помошь в обнаружении данной уязвимости благодарим пользователя Link

Дистрибутивы обновлены.

Уведомляем всех наших посетителей о выходе DataLife Engine v.4.2

Список изменений касаемых данного релиза:

□ Вдохнули жизнь в GIF анимацию, но только при условии что размер картинки не превышает максимальных размеров, указанных для каждой группы.

□ Изменен метод проверки сгенерированного изображения, возможно это уменьшит количество жалоб на то что невозможно ввести код для регистрации.

□ Реализована поддержка создания различных групп пользователей с возможностью назначения им различных прав доступа (более 20 настроек для каждой группы).

□ Реализована возможность временного размещения пользователя в определенной группе, после чего он будет перещен в назначенную основную группу.

□ Добавлена возможность автоматической регистрации пользователей в любой из существующих групп.

□ Исправлено некорректное обновление кеша опросов на сайте

□ Добавлено использование AJAX при добавления комментария к новости.

□ В шаблон comments.tpl добавлен тег [fast] [/fast], выводит ссылку на быстрое цитирование комментария. При выделении любого текста и нажатии на ссылку выделенный текст будет вставлен в форму добавления комментария ввиде цитаты. Если текст небыл выделен то будет вставлено только имя пользователя оставившего комментарий.

□ Внесены изменения в механизм автоматической генерации метатегов.

□ Новый графический интерфейс BB редактора

□ В шаблоны main.tpl, shortstory.tpl, fullstory.tpl добавлен тег [group_X] [/group_X] где X это ID группы пользователей. В случае если пользователь находится в данной группе, то ему будет показан текст находящийся в данных тегах, если нет то текст показан не будет.

□ Добавлена возможность блокировки скачивания загруженных файлов с других серверов, кроме вашего (Antileech).

□ Исправлены все заявленные ранее баги и неточности в работе скрипта.

Совместно с нашими партнерами www.dletemplates.com мы рады предложить вам также высококачественные шаблоны, специально подготовленные для использования под управлением DataLife Engine. Предлагаемые шаблоны созданы на высоком качественном уровне опытными дизайнерами и программистами. Каждый из предлагаемых шаблонов полностью настроен и готов к использованию сразу же после его установки на сервер. Помимо того что все шаблоны уже подготовлены к использованию на портале, вы получаете также все исходные материалы, которые были использованы при создании шаблона.

Если вы еще только раздумываете как будет выглядеть ваш сайт и желате воспользоваться услугами профессионалов по вполне разумным ценам, то мы рекомендуем вам обратиться к нашим партнерам www.dletemplates.com, которые в сжатые строки создадут для вас персональный макет вашего сайта, а также подготовят его непосредственно к работе с движком. Также на сайте оказываются услуги по интеграции уже готового Вашего макета в движок.

Уведомляем всех наших посетителей о выходе DataLife Engine v.4.1

Список изменений:

□ Добавлено указание размера файла и при скачивании загруженного на сервер файла.

□ В настройки скрипта добавлена возможность отключения добавления комментариев для всех новостей.

□ Добавлено использование метатегов в движке.

□ Добавлена возможность автоматического или ручного добавления полей Description и Keywords в метатегах, как для новостей, так и для категорий.

□ В связи с введением метатегов тег {title} заменен на {headers} в шаблоне main.tpl (cм. шаблон в дистрибутиве)

□ Добавлена возможность использования нескольких категорий с одинаковыми имена (альтернативное имя должно оставаться уникальным)

□ Сделано казалось бы невозможное со всех страниц снято 2 обращения к базе данных. Естественно без потери функциональности, и без применения общего кеширования. Теперь в стандартной сборке со всеми включенными возможностями на главной странице для зарегистрированного посетителя всего 1 запрос, если незарегистрирован запросов к базе вообще не будет. При условии что включено кеширование. Запросы сняты с опроса и категорий, за счет кеширования системных переменных. До тех пор пока вы неизмените данные о категориях или опросе вся информация о них будет браться из кеша.

□ В связи с тем что не всегда требуется подключение к базе данных, применена технология динамического подключения к MySQL, если будет необходимы данные из базы то будет произведено подключение, если нет то мехагизмы MySQL задействованы не будут. Другими словами ваш сайт будет работать например на главной странице, даже если MySQL сервер неработает.

□ Все переменные конфигурации скрипта объеденены в один массив (информация для тех кто пишет моды)

□ Улучшено общее быстродействие скрипта за счет существенной оптимизации обработки дополнительных полей

□ Исправлен баг с отображением скрытого текста при просмотре версии для печати

□ Немного изменен вывод текста в всплывающем уведомлении о получении нового ПМ

□ Исправлен баг при котором не показывались прикрепленные файлы после поиска

□ Исправлен баг в модуле регистрации, при попытке пройти авторизацию сразу после завершения регистрации, выдаваль ошибка что такой пользователь уже зарегистрирован

□ Исправлены все заявленные ранее баги и неточности в работе скрипта

Уведомляем всех наших посетителей о выходе DataLife Engine v.4.0

Список изменений:

□ Модифицирован и улучшен поиск пользователей в админпанели, добавлен выбор порядка сортировки найденных пользователей.

□ Добавлено появление всплывающего уведомления, при получении посетителем нового персонального сообщения (необходимо добавление новых стилей CSS для настройки окна сообщения, смотрите скин по умолчанию)

□ Добавлены горячие клавиши (Ctrl + ->) для перелистывания страниц при просмотре новостей и последних комментариев

□ Добавлена блокировка по IP, возможно блокирование как отдельного IP так и всей подсети

□ В админ панели в списке категорий, в каждую категорию добавлена прямая ссылка для просмотра новостей из этой категории, чтобы не забывали какой путь к категориям должен быть.

□ Исправлен баг, при подчете порядкого номера комментария во время просмотра последних комментариев

□ Исправлен баг, при котором после удаления пользователя его комментарии становились "фантомными"

□ Исправлен баг с отображением новостей в календаре, если новость опубликована на будующее время

□ Внесены Небольшие поправки в RSS

□ Улучшена работа со статическими страницами, добавлено использование WYSIWYG редактора или BBCODES, также добавлена возможность использования или нет пожеланию шаблона (незабудьте добавить файл static.tpl в ваши шаблоны)

□ Внесены изменения в работу модуля создания и восстановления резервных копий базы данных. Данное улучшение позволяет без каких либо проблем создавать копии больших баз данных (тестировалась база более 300MB), также добавленая возможность ведения архивов резервных копий

□ Немного подправлена работа WYSIWYG редактора, с целью уменьшить код статьи

□ Добавлена возможность загрузки файлов на сервер, и назначение их определенным новостям, имеется возможность предоставления доступа к файлам только зарегистрированным пользователям. Загрузка файлов доступна только людям имеющим доступ в админпанель. Вы можете также залить файл по FTP, а потом просто указать к нему путь. Список разрешений файлов которые допустимы к загрузке файлов, указываются в настройках скрипта.

□ Исправлены все заявленные ранее ошибки в работе скрипта

□ Произведены множественные изменения в скрипте, улучшающие общее быстродействие скрипта.