Conversation
| $addColor = '' != $color ? ' -background ' . escapeshellarg($color) . ' -flatten' : ''; | ||
|
|
||
| $cmd = $convertPath . ' -density '.$density.' "' . $fromPath . '[0]" ' . $addColor . ' -colorspace RGB "' . $toPath . '"'; | ||
| $cmd = $convertPath . ' -density '.$density.' ' . escapeshellarg($fromPath.'[0]') . ' ' . $addColor . ' -colorspace RGB ' . escapeshellarg($toPath); |
There was a problem hiding this comment.
Die Stelle hier wurde uns gemeldet als "Remote Code Execution", da der Color-Param im Backend eingegeben wird.
Ich sehe hier aber kein wirkliches Sicherheitsrisiko, da auf die Backend-Page nur Admins kommen, und Admins sowieso beliebigen Code ausführen können über das Backend.
There was a problem hiding this comment.
man könnte sagen, dass eine sql injection sicherheitslücke im frontend ausreicht um diesen parameter zu verändern und somit dann arbitrary/remote code execution auf dem server durchzuführen (also nicht nur php code wie bei eingabe/ausgabe von modulen, sondern dann auch echte shell commands)
There was a problem hiding this comment.
Wenn man die Templates/Module ändern kann, kann man dort aber ja genauso exec-Aufrufe einschleusen.
3 participants
No description provided.