Elite-Board tech support
https://forum.illusionweb.ru/

Не вводить постоянно номер телефона
https://forum.illusionweb.ru/viewtopic.php?f=21&t=4428		 Страница 1 из 1
Автор:  MIHALICH [ 02 мар 2021, 13:12 ]
Заголовок сообщения:  Не вводить постоянно номер телефона
Сделать автозаполнение номера телефона, указанного в личном кабинете.
Автор:  Сергей [ 04 мар 2021, 08:30 ]
Заголовок сообщения:  Re: Не вводить постоянно номер телефона
MIHALICH писал(а):
Сделать автозаполнение номера телефона, указанного в личном кабинете.

Решение не для 4й версии, хотя и для 4й, оказалось, подойдёт.
В файле /modules/fields.html, заменить кусок
Код:
Для просмотра Вы должны быть в группе пользователей Elite-Board.

на
Код:
Для просмотра Вы должны быть в группе пользователей Elite-Board.

Будет работать при условии, что вы вышли из Админ Панели и вошли в Панель Управления и у вас указан телефон, заметил, что изначально они в БД не сохраняются. И вот тут - я замер! Пошёл смотреть, где это делается и нашёл слепую SQL-injection, нет слов) Значит, далее, открываем файл /modules/add.inc и после строки (у меня это была 165)
Код:
Для просмотра Вы должны быть в группе пользователей Elite-Board.


Вставляем
Код:
Для просмотра Вы должны быть в группе пользователей Elite-Board.

А старый dbquery - затираем, тем самым - обезопасились от инъекции и сохранили телефон в БД, если войти в Панель Управления, то телефон будет подставляться автоматически.
Вот такое вот исследование за 40 минут, спасибо Вам! Без вас, мы так и жили бы с уязвимостью)
Автор:  Geo [ 04 мар 2021, 20:42 ]
Заголовок сообщения:  Re: Не вводить постоянно номер телефона
Нет там инъекции, все вводные параметры фильтруются.
Поле "телефон" в профиле пользователя появляется при включённой функции СМС-регистрации. В этом случае доп. поле "Телефон" можно не использовать.
Страница 1 из 1 Часовой пояс: UTC + 3 часа
Powered by phpBB® Forum Software © phpBB Group
https://www.phpbb.com/