phpBB 2.0.7 Security Fix, possible SQL injection

Ja Holger, beide ersetzen.

phpBB2.de User Anmeldungsdatum: 09.02.2004 Beiträge: 159

Muß ich ihn etwa um schreiben oder kann ich ihn so lassen?

Wenn Du die Zeilen mit htmlspecialchars(... nicht findest, dann suche nach diesen Zeilen ohne diese Funktion und ersetze die wie in den News beschreiben.

phpBB2.de User Anmeldungsdatum: 09.02.2004 Beiträge: 159

habe ich schon gemacht aber dan bekomme ich ein prasa error Mad

aber die 08 ist ja jetzt schon draussen dann hat sich das wohl erledigt oder?

Yepp.

phpBB2.de User Anmeldungsdatum: 13.11.2002 Beiträge: 562

Ich finde das Wort "htmlspecialchars" nur einmal in der login.php, in diesen Zeilen:

Was muss ich da denn ändern?

Code:

if( isset($HTTP_POST_VARS['login']) || isset($HTTP_GET_VARS['login']) || isset($HTTP_POST_VARS['logout']) || isset($HTTP_GET_VARS['logout']) )
{
if( ( isset($HTTP_POST_VARS['login']) || isset($HTTP_GET_VARS['login']) ) && !$userdata['session_logged_in'] )
{
   $username = isset($HTTP_POST_VARS['username']) ? trim(htmlspecialchars($HTTP_POST_VARS['username'])) : '';
   $username = substr(str_replace("\\'", "'", $username), 0, 25);
   $username = str_replace("'", "\\'", $username);
   $password = isset($HTTP_POST_VARS['password']) ? $HTTP_POST_VARS['password'] : '';

   $sql = "SELECT user_id, username, user_password, user_active, user_level
      FROM " . USERS_TABLE . "
      WHERE username = '" . str_replace("\\'", "''", $username) . "'";
   if ( !($result = $db->sql_query($sql)) )
   {
      message_die(GENERAL_ERROR, 'Error in obtaining userdata', '', __LINE__, __FILE__, $sql);
   }

Da ist nichts zu ändern.