Форум инстанта сломан?

Куча сообщений с ошибкой вылезает непрерывно, и видно, что есть слой фрейма какого-то.
Добавить свое сообщение в той теме невозможно.

Сергей, instantcms.ru/forum/thread10824-6.html#87203 — зайдите сами и попробуйте. Ошибка эта еще с 16-00 приблизительно.

видно, что есть слой фрейма какого-то

Отображается картинкой и ссылка на "изображение" — instantcms.ru/forum/1/

Видать это дела Артёма и недавними сообщениями о взломе 1.9…

Да моё это пост похожий Артема, только мой безобидный и вроде как тест на XSS. если б был настоящим при нажатии на 'ок' вроде ваш пасс как то можно получить через кеш или, там подставу друг рассказывал уже забыл. извините, что перепугал первая реакция у меня была такая же была тогда но просто ESC или выход с траницы главное ничего не жать если настоящий. но Марат сказал как убрать(вроде работает), сделал это причем еще на 1.8 и всё теперь не выскакивает. следовательно это все поправимо, приношу извинения.

---

Цитирую Марата
Для устранения возможности вставки неположенного, открываем файл /includes/bbcode/bbcode.lib.php, находим строку 1203

и заменяем на

Для тех, кто всё время кричит о дырявости инстанта, как можете заметить эта уязвимость в сторонней библиотеке, которую использует инстант.

Для тех, кто всё время кричит о дырявости инстанта, как можете заметить эта уязвимость в сторонней библиотеке, которую использует инстант.

Уже видел сегодня эту фразу, извините парни, при всем уважении, но поему это глуповатое какое то утверждение. Если это такая плохая библиотека какого ляда она вообще делает в инстанте.
Я не кричу о дырявости инстанта, благодарен разработчикам за продукт, но проблема существует, и ни к чему эти отсылки к плохим библиотекам, достоинства инстанта и так никто не принижает, и респект разработчикам не меньше, но то что здесь творится со вчерашней ночи это вообще то выглядит ужасно.
Думаю не я один испытал чувство анреала…
Надеюсь скоро проблема будет устранена.

А я и говорил что это не инстант, посмотрите код на той странице что дали.
А администрация не отвечает. Потому-что видет что нет никакой дыры.

А администрация не отвечает. Потому-что видет что нет никакой дыры.

Все проще, админы тоже люди — и у них есть выходные. Дыра есть — критичная или нет другой вопрос. И она в файле, который входит в поставку InstantCMS (сторонняя библиотека или своя неважно — файл входит в состав движка) — так что в любом случае эта штука будет исправлена.

Уже видел сегодня эту фразу, извините парни, при всем уважении, но поему это глуповатое какое то утверждение. Если это такая плохая библиотека какого ляда она вообще делает в инстанте.

Вы немного неправильно поняли. Никакой отсылки к сторонней библиотеке не было. Эту фразу я привел только для того, чтобы показать, что не бывает "недырявых" программ. Просто очень сильно раздражает, когда не разбираясь начинают орать о дырявости инстанта.
Библиотека не плохая. Очень даже отличная. Зачем изобретать велосипед. Это всего лишь маленький недочет. Зачем же сразу делить только на черное и белое?

Пугает, что разработчиков даже собственный форум не сильно волнует.

А администрация не отвечает. Потому-что видет что нет никакой дыры.

Sjen правильно сказал, все мы люди… Тем более лето и выходные. И отдыхать тоже надо. Или вы хотите, чтобы кто-нибудь дежурил здесь как на ядерном чемодане?
Появится Фьюз или Администратор оффсайт подправят.
По уязвимости, устранение подсказано. Исправьте и отдыхайте спокойно. Какого ответа вы ждете от админов? Не будут же по каждому недочету выпускать релиз. Могу сказать, не такое уж это простое занятие. Скоро обещали релиз, вот там и подправят.

По уязвимости, устранение подсказано

Большое спасибо за временное решение, но все таки думаю повод серьезный что бы какое то решение было от админов.
Паника в рядах вполне логична и объяснима. Когда кто то из пользователей приходит и жалуетсяна форуме что вотпосмотрите у меня такая проблема там ломают так и так, ему читают краткую лекцию на тему сам виноват, настрой систему безопасности, про безопасность ftp и т д. И народ дальше спит спокойно. Ну когда какой то человек который утверждает что собственно и не является особым спецом на раз два три чудит на офф сайте, со своим зловещим "чпоки чпоки" реакция народа вполне адекватная.

Народ не паникуйте, просто будьте пофигистами(оптимистами), ну и делаете каждодневный бекап. а так если не кому дорогу не переходить. то в вашем сайте не кто дырки даже не захочет искать))) (ну это так теория). у тех у кого не много народа и нету системы резервирования(всегда выручит кнопка выкл в админке). А так из личного опыта, уязвимость эта была давно, ничего страшного не случилось и сайты работали очень много с ней по временному отрезку — смысла паники и выключения и ваше повального всего ну совсем нету.
PS Огромное Спасибо Марат (самый разумный и уравновешенный человек похоже на ИнстантКМС)

профи, а вообще данная уязвимость критичная, т.е. дает ли это возможность заливать-править файлы хакеру?

Все, кто будет "проверять" уязвимости здесь будут удалены. двое уже ушли.

По способу предоставления уязвимостей:

— мне ни в ЛС, ни на почту, которую все знают не ОДНОГО сообщения не пришло;
— как правильно уже заметили умные люди — сейчас выходные, лично я не сижу дома целыми днями и не жду когда же вася пупкин мне напишет или кто то форум поломает;

— нашли уязвимость, критический БАГ, НУ НАПИШИТЕ ЛЮБОМУ ИЗ АДМИНОВ, все же знаю кто есть кто! Это что сложно?

По сабжу: в понедельник сделаю патч библиотеки.

Да, и особо парящимся — ничего СИЛЬНО страшного нет.