[보안패치] 그누보드 5.0.34 > 그누보드5 다운로드

그누보드5 다운로드

SIR은 그누보드를 만들 뿐 프로그램의 설치, 운영방법, 설정문제에 관한 도움을 드리지는 않습니다.

[보안패치] 그누보드 5.0.34 정보

[보안패치] 그누보드 5.0.34

첨부파일

gnuboard5.0.34.tar.gz (4.7M) 1750회 다운로드 2015-05-19 14:02:56
gnuboard5.0.34.patch.tar.gz (34.7K) 285회 다운로드 2015-05-19 14:02:56

본문

** 5.0.34 버전의 수정 내역

XSS 취약점 수정(한국인터넷진흥원 최명균님이 알려주셨습니다.)
안전하지 않는 사이트 리다이렉션 취약점(한국인터넷진흥원손기종님이 알려주셨습니다.)

https://github.com/gnuboard/gnuboard5/commit/330e656544fd3cd209178a79131995d35858e72d

53e921d check_url_host 함수 수정
M      lib/common.lib.php
0835753 안전하지 않는 사이트 리다이렉션 취약점 수정
M      bbs/alert.php
M      bbs/confirm.php
M      bbs/login.php
M      bbs/login_check.php
M      lib/common.lib.php
d701f84 AGENT를 이용한 XSS 취약점 수정
M      adm/visit_list.php
M      adm/visit_search.php
M      bbs/visit_insert.inc.php
08f7c21 사용하지 않는 코드 삭제
M      adm/boardgroupmember_form.php
M      adm/boardgroupmember_list.php
M      adm/mail_list.php
M      adm/member_list.php
M      adm/poll_list.php

댓글 19개

http://checkbox.tistory.com/933  안녕하세요. 혹시 저기 있는 내용도 반영해 주실 수 있나요?

아래 내용.

*******************
common.lib.php에 아래 함수를 넣어줍니다.

function sql_old_password($value)
{
    $row = sql_fetch(" select old_password('$value') as pass ");
    return $row[pass];
}

그리고 login_check.php의 15번째줄을

if (!$mb[mb_id]) {
alert("가입된 회원이 아니거나 패스워드가 틀립니다.\\n\\n패스워드는 대소문자를 구분합니다.");
} else { //id가 있는경우
if ( (sql_password($mb_password) != $mb[mb_password]) && (sql_old_password($mb_password) != $mb[mb_password]) ) {
    alert("가입된 회원이 아니거나 패스워드가 틀립니다.\\n\\n패스워드는 대소문자를 구분합니다.");
}
}

로 바꾸어 줍니다. 더 간단하게도 쓸수 있지만 논리 에러를 내지 않으려고 일부러 길게 썼습니다.

그리고 register_form.php의 66-67번째 줄을

if (!($member[mb_password] == sql_password($_POST[mb_password]) && $_POST[mb_password]) && !($member[mb_password] == sql_old_password($_POST[mb_password]) && $_POST[mb_password]))
        alert("패스워드가 틀립니다.");

로 바꾸어 줍니다. 회원 정보 수정시에 한번더 비밀번호를 체크하기에 여기도 넣어주어야 합니다.

출처 : http://sir.co.kr/bbs/board.php?bo_table=g4_tiptech&wr_id=1212
저만 그런가요?
보안서버를 적용하면 "url에 타 도메인을 지정할 수 없습니다."라는 경고창이 한번 열리고 로그인이 됩니다.
보안서버 해제하면 경고창이 안뜨고요..회원제 상품구매에서 해제해야 구매가 됩니다.
전체 323 |RSS
그누보드5 다운로드 내용 검색

회원로그인

(주)에스아이알소프트 / 대표:홍석명 / (06211) 서울특별시 강남구 역삼동 707-34 한신인터밸리24 서관 1404호 / E-Mail: admin@sir.kr
사업자등록번호: 217-81-36347 / 통신판매업신고번호:2014-서울강남-02098호 / 개인정보보호책임자:김민섭(minsup@sir.kr)
© SIRSOFT