Повторение мать ученья. Три года назад было тоже самое, но с idiorm/granada/paris :)

Там подходы к переписыванию были другие. Брались компоненты и с нуля, с новой сруктурой собиралось ядро. При этом компоненты были разрозненные и приходилось их между собой дружить через жопу и с костлями. Ну и еще, при работе с базой отваливалось DBAPI и приходилось переписывать все и сразу.

Можно сказать тогда это было тренировка и набивание шишек.

Сейчас пошли от обратного. Написали прокси для DBAPI. И берутся компоненты которые уже изначально между собой связаны

В xpdo тоже думали, что можно как угодно, а потом оказалось, что это дыра))

Немного другая ситуация. ->orderByRaw станет дырой, когда ты туда начнешь делать вызовы в стиле ->orderByRaw($_GET['order']);

В ядре Revo как выяснилось, такой вызов появлялся благодаря нескольким прослойкам.

Немного другая ситуация. ->orderByRaw станет дырой, когда ты туда начнешь делать вызовы в стиле ->orderByRaw($_GET['order']);

Да вроде такая же, одни совали без разбору, думали, что автоматом заэкранируют, а вторые развели руками "с чего вы взяли"

Да вроде такая же, одни совали без разбору, думали, что автоматом заэкранируют, а вторые развели руками "с чего вы взяли"

Те, кто не читают документацию не в счет. А в xPDO трабл был именно в ядре. Там сами разработчики так делали

Я конечно детально не помню подробностей той уязвимости. Но там точно проблема была в другом. Наличие raw метода еще не уязвимость. Проблема появляется когда туда наинают пихать все без разбору. Это из серии $modx->evalSnippet($_GET['code']). Такое использование уязвимость. Но ведь какой дурак так будет делать?

в xpdo разве есть вообще raw и не raw

в xpdo разве есть вообще raw и не raw

Я уже не помню. Помню только что проблема была в обходе экранирования. Т.е. можно было запустить чистый запрос сразу в pdo минуя подготовку через xPDO. И нашлось несколько компонентов которые так делали + в ядре одно место было.

судя по документации, нет там такого разделения, поэтому и пихали без экранирования

Одно дело когда там легитимный запрос зашит в строке. А другое дело, когда запрос брался из внешнего источника. И это как раз было проблемой.

судя по документации, нет там такого разделения, поэтому и пихали без экранирования

Сейчас найду в чем проблема была

https://modx.pro/security/10345/

Пипец) https://modxcloud.com/info.php

2 года моему комменту, а phpinfo с modxcloud так и не убрали

@alroniks может еще раз им напишешь?)

Php 5.6:) шах и мат прогрессивной общественности :)

https://modx.pro/security/10345/

Васина статья это продолжение эпопеи с эксплоитом fuckyoumodxrevolution

У меня в блоге эта статья называлась "SQL-injection в xPDO на примере контекстов MODX Revolution"

У меня в блоге эта статья называлась "SQL-injection в xPDO на примере контекстов MODX Revolution"

https://archive.fo/v44t3

По принципу наименьшего сопротивления если есть возможность отправлять прямые запросы, то многие так и будут делать. И винить в этом некого

Была строка.... правильная строка))

2 года моему комменту, а phpinfo с modxcloud так и не убрали

может они специально для тебя оставили старую версию?

может они специально для тебя оставили старую версию?

Я рад, что они так обо мне заботятся

Читай документацию ©(Pathologic) http://docs.evo.im/03_extras/formlister.html

может они специально для тебя оставили старую версию?

https://modx.com/blog/php56-removal-announcement

Хех, даже "мвахаха" это мало

https://modx.com/blog/php56-removal-announcement

Ну посмотрим, меньше недели им осталось на то что бы уйти с 5.6

Буду спамить каждый день) Просьба. Кто что вспомнит про события плагинов, подредактируйте страничку. https://github.com/evolution-cms/docs/blob/master/ru/03_Разработчику/02_Элементы/04_Плагины/02_События_плагинов.md

можно же посмотреть ошибку курла

функция есть для этого

возможно куки и юзер агента хочет

не хочет

Hi, I need a blog like the demo on an existing website. Whats the best to do? Install the demo on an clean version and grab what I need?

Ipv6 ?

Hi, I need a blog like the demo on an existing website. Whats the best to do? Install the demo on an clean version and grab what I need?

I don't think that demo site is a good example

Its the fastest way to do it I think. I have never made a blog site before. Doesn't need much specials but just needs to work

A bit like this one; http://base.rev.modxcloud.com/blog/

Tags, recent posts, categories, archieve, comments

JotX

No need for login

You should probably do it with doclister?

Argh, only installed some Extras and now get this error: Fatal error: Uncaught TypeError: Argument 1 passed to modUsers::__construct() must be an instance of EvolutionCMS\Core, instance of DocumentParser given, called in /home/xxx/domains/xxx.nl/public_html/assets/snippets/FormLister/plugin.userHelper.php on line 39 and defined in /home/xxx/domains/xxx.nl/public_html/assets/lib/MODxAPI/modUsers.php:72 Stack trace: #0 /home/xxx/domains/xxx.nl/public_html/assets/snippets/FormLister/plugin.userHelper.php(39): modUsers->__construct(Object(DocumentParser)) #1 /home/xxx/domains/xxx.nl/public_html/manager/includes/document.parser.class.inc.php(1916) : eval()'d code(1): require('/home/naamenfaa...') #2 /home/xxx/domains/xxx.nl/public_html/manager/includes/document.parser.class.inc.php(1916): eval() #3 /home/xxx/domains/xxx.nl/public_html/manager/includes/document.parser.class.inc.php(5441): DocumentParser->evalPlugin('require MODX_BA...', Array) #4 /home/xxx/domains/xxx.nl/public_html/mana in /home/xxx/domains/xxx.nl/public_html/assets/lib/MODxAPI/modUsers.php on line 72

its DocLister giving issues :(

and userHelper

EVO 1.4.4 and installed DocLister from Extras

How i know, Extras get Dev version from GitHub 😞 Need get early version on GitHub and install form personal repository. For example: https://github.com/AgelxNash/DocLister/tree/2.3.15

That worked

No more error :O

I need to get some sleep, thanks and goodnight.

Всем привет :) как новая сборка дополнения для инет. магазина поживает? :) думаю вот на evo или opencart делать

OpenCart жесть, както собрал на нём магазин

Ставь evoShop и

EVO 1.4.4 and installed DocLister from Extras

In 1.4.4 have doclister no need install from extras

Need fix in extras In extras doclister for dev version now

А что evoshop уже доступен?

https://github.com/search?q=evoshop

что за evoshop-autogen

какой использовать?

https://github.com/evoshop-pro/evoshop?files=1

https://github.com/evoshop-pro/evoshop?files=1

спасибо

Хорошего всем дня, есть вопрос - как в мультитв вывести порядковое числовое значения для элемента(аналог [+rowNumber+] в ddGetMultipleField)

Хорошего всем дня, есть вопрос - как в мультитв вывести порядковое числовое значения для элемента(аналог [+rowNumber+] в ddGetMultipleField)

[+row.num+]

Спасибо))

или методом научного тыка)

http://i--gu.ru/multitv

или методом научного тыка)

работает))

Спасибо, просто голова уже дымится от хотелок, захотели не 2 сайта делать, а типо 2 в 1, вот и зашиваюсь с простыми вещями)))

Спасибо, просто голова уже дымится от хотелок, захотели не 2 сайта делать, а типо 2 в 1, вот и зашиваюсь с простыми вещями)))

скажу честно, всё запомнить нельзя, да и смысл захламлять голову. проще запомнить где это взять

))

Доброе утро) Вопрос такой возник по интеграции сайта с 1С: клиент прислал просто .erf файл из 1С.Управление торговлей. Как я поняла, это настройка внешнего отчета и открыть его можно только в самом 1С. Может кто-то с такими файлами работал? В каком формате там вообще выгружается отчет, в xml?

Обычно в xml отдают, или вообще post запрос из 1С идёт. Или я путаю)

Доброе утро) Вопрос такой возник по интеграции сайта с 1С: клиент прислал просто .erf файл из 1С.Управление торговлей. Как я поняла, это настройка внешнего отчета и открыть его можно только в самом 1С. Может кто-то с такими файлами работал? В каком формате там вообще выгружается отчет, в xml?

так он вам всю базу сразу прислал)))

ну похоже результат какого то отчёта, сделал выборку через стандартный отчёт и сохранил. там есть при сохранении кнопка - сохранить как xls

они написали, что это обработка выгрузки