TikiWiki의 익명 사용자가 Ajax 요청 서비스를 중단하는 방법은 무엇입니까?

Question

내 이벤트 추적기 달력을 호출하면서 Ajax 서비스가 실행되는 것을 발견했습니다. [MYSERVER]/티 - tracker_calendar리스트? trackerId = 30 & beginField = startDate를 & endField = endDate가 & resourceField = 표제 & coloringField NULL = & 필터 = %의 0D % 0A % 7Bfilter % 20field % 3D % 22tracker_field_eventCategory % 22 % 20content %의 3 차원 % 22 % 22 % 7D의 %의 0D의 %의 0A가 = 1,488,085,200 & 말을 시작 & = 1,491,710,400 & _ = 1490626987241

만약 공격자의 활용이 및 입력 : 티키 - tracker_calendar 목록 trackerId = 30 & beginField = startDate를 & endField = endDate & start = 0 & end = 9999999999 시스템은 트래커 30의 모든 이벤트를 반환합니다. 입력하려고했습니다 : `if (! 는 isset ($ 사용자))

{

헤더 ('위치 : index.php를');

다이; 라인 (35)이 작동

에서

/var/www/html/tikisvn15/tiki-ajax_services.php :

} 파일에서` . 다른 방법이 있습니까? 내 수정으로 Ajax 서비스가 다른 구성 요소에서 중단 될 수 있습니까?

Answer 1

Tiki 사용 권한 시스템을 사용하여 볼 수있는 그룹을 설정할 수 있습니다. (-> 검색 제어판에) TrackerCalendar 검색을 사용하기 때문에 (이에 기록되지 않음) 사용자는 검색 인덱스를 다시 작성해야합니다 익명 볼 수없는 당신의 추적을 설정 한 후에는 것을 See the documentation here

주 색인.

tiki 코드에서 임의의 사용자 수표를 사용하지 않는 것이 좋습니다. 일이 중단되고 그 이유를 해결하는 것이 매우 어려울 것이라고 생각합니다.