Mi sono messo a confrontare i due file joomla.php della 1.0.13a rispetto all'ultima versione nella 1.0.14/1.0.15. Questa è l'unica grande variazione fatta:
alla riga 6026 - function josSpoofCheck( $header=NULL, $alt=NULL , $method = 'post') - è stato aggiunto il codice come successivamente mostrato
function josSpoofCheck( $header=NULL, $alt=NULL , $method = 'post')
{
switch(strtolower($method)) {
case "get":
$validate = mosGetParam( $_GET, josSpoofValue($alt), 0 );
break;
case "request":
$validate = mosGetParam( $_REQUEST, josSpoofValue($alt), 0 );
break;
case "post":
default:
$validate = mosGetParam( $_POST, josSpoofValue($alt), 0 );
break;
}
Il resto dei cambianti riguarda qualche parentesi graffa che prima non c'era, qualche spostamento di riga, infine WinMerge segna molte spaziature differenti rispetto alla 1.013a ma penso che questo non sia un problema.
Posto questo perchè facendo l'aggiornamento dalla 1.0.13a alla 1.0.14 e succesivamente alla 1.0.15 non funziona più il login sul fronted, ma reinserendo il vecchio jooma.php (come ha fatto notare FASENDEROS) tutto tornava in ordine. Quindi sto cercando di capire i motivi per cui questa funzione si sia bloccata ma soprattutto se le modifiche fatte a questo file influenzano o posso influenzare altre attività tipiche di joomla.
Da notare la riga commentata immediatamente successiva al codice aggiunto:
// probably a spoofing attack
Allora il codice aggiunto è la modifica di sicurezza fatta o una delle modifiche per la sicurezza fatte?
Federico. Tutto questo non necessità necessariamente di una risposta ma anche solo di un parere!
Un'ultima riflessione: visto che il codice commentato era presente già nel file joomla.php della 1.0.13 e se uno vede da google che cosa è un spoofing attack si potrebbe dire che era una cosa annunciata, già si sapeva che li c'era un probabile buco? Allora chiunque usi joomla e sappia usare il codice .php puo' entrare in quanti siti fatti in joomla vuole, visto che le cose sono già annunciate?
Infine, un provider tosto può ovviare a questa falla visto che è un problema di spoofing attack o la colpa sarebbe tutta a carico di joomla (poverino)?
