11-29-2013, 06:22 AM
Да, вчера буквально на нашем форуме копалась и нашла дырку, при помощи которой тот же упс мог писать коменты, создавать темы, будучи забаненным.. Не проверяла, но даже мог удалять чужие, даже сообщения кс.. Вот такая дырка. Эта же дырка актуальна для подобных движков, она же до сих пор может юзаться на бывшем 2.0 )).. потому что Мишаня быстро пишет код, и вряд ли будет проверять каждое условие.. типо - элементарно, должно работать... а фига там).. выходит, формы хидден тоже можно успешно передавать и записывать о_О.. А правильный подход - ставить фильтрацию на скл запросы, а не на них
