Gestione media: Trovato un possibile attacco IE XSS.

[Lupin IV]

Salve a tutti ragazzi, sto cercando di caricare da "Gestione media" un file txt (nella configurazione è già inserito tra le estensioni autorizzate) solo che non ci riesco, mi viene dato questo messaggio d'errore:


Trovato un possibile attacco IE XSS.


...come posso fare per caricarlo? non esiste un altro modo (magari un modulo) per caricarlo e magari per migliorare la gestione dei media? a me praticamente serve per aggiornare una gallery senza andare ogni volta in FTP, così basta collegarsi all'Administrator di Joomla, andare nella Gestione media e da lì aggiornare foto (jpg) e descrizioni (txt)...cosa mi consigliate?


Grazie

[hapax]

Dai uno sguardo qui,(è in inglese)..

http://docs.joomla.org/Possible_IE_XSS_Attack

forse ti può essere d'aiuto

[Lupin IV]

Ciao hapax, grazie per la segnalazione ma sinceramente ci ho capito poco e poi a me non si tratta di una immagine ma di un file txt...ah, altra cosa, io non sto usando Explorer ma Google Chrome... 

[Lupin IV]

...ho trovato una soluzione sul web che consigliava di editare il file /administrator/components/com_media/helpers/media.php è di sostituire:

Codice: [Seleziona]

if(stristr($xss_check, '<'.$tag.' ') || stristr($xss_check, '<'.$tag.'>')) {
                                $err = 'WARNIEXSS';
                                return false;
                        }

...con

Codice: [Seleziona]

if(stristr($xss_check, '<'.$tag.' ') || stristr($xss_check, '<'.$tag.'>')) {
                                $err = 'WARNIEXSS';
                                return true;
                        }

...ho provato ed effettivamente funziona! solo che ora mi sta venendo il dubbio, non è che poi è troppo rischioso? voi cosa mi consigliate?

[tomtomeight]

In genere è sconsigliato modificare il core, al primo aggiornamento perdi tutto.

[Lupin IV]

...è sconsigliato solo per questo motivo (cioè perché si perde tutto) oppure anche per motivi di sicurezza? eventualmente non ci sarebbero altre soluzioni secondo te?

[tomtomeight]

Penso anche per motivi di sicurezza, se elimini una sirena di allarme poi non ti accorgi se viene un ladro.

[Lupin IV]

...immaginavo...mi sa che hai proprio ragione...e allora cercherò altre soluzioni...
Grazie mille per i consigli!