https://www.opennet.ru/openforum/vsluhforumID3/136778.html В библиотеке ADOdb, применяемой во многих PHP-проектах для абстрагирования доступа к СУБД и насчитывающей около 3 млн установок из репозитория Packagist, выявлена уязвимость (CVE-2025-46337), позволяющая выполнить подстановку своего SQL-запроса. Проблеме присвоен критический уровень опасности (10 из 10). Уязвимость устранена в выпуске ADOdb 5.22.9...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=63186<br> https://www.opennet.ru/openforum/vsluhforumID3/136778.html#29 Wed, 07 May 2025 18:36:44 GMT Ага.<br>Это как с Макдаком. Кого ни спроси - никто там не ест. А приди в любой ресторан - народищу не протолкнуться. Также и с РНР<br> https://www.opennet.ru/openforum/vsluhforumID3/136778.html#27 Wed, 07 May 2025 13:05:14 GMT Ты чего-то не понял. QueryBuilder не является ни белым, ни чёрным списком. Он позволяет передавать любые строки в запросы. Единственное о чём он заботится, это о том, чтобы запросы при этом составлялись бы правильно, чтобы передаваемые строки не смогли бы сломать структуру запроса.<br> https://www.opennet.ru/openforum/vsluhforumID3/136778.html#26 Wed, 07 May 2025 05:40:28 GMT &gt;Проблемы PHP проистекают из того, что он настаивает на том, что раз у программиста есть конкатентация строк, то больше ему ничего не нужно для построения SQL<br><br>Это не так, PHP прекрасно поддерживает подготовленные запросы.<br> https://www.opennet.ru/openforum/vsluhforumID3/136778.html#25 Wed, 07 May 2025 05:39:35 GMT Никакая санитизация в принципе не является нормальным решением, так каксанитизация - это в принципе чёрный список, а для безопасности нужен белый.<br> https://www.opennet.ru/openforum/vsluhforumID3/136778.html#24 Wed, 07 May 2025 05:02:23 GMT На самом деле не так уж много сайтов есть, которые обходятся без PHP. Почти весь интернет на этом языке работает &#175;\_(&#12484;)_/&#175;<br> https://www.opennet.ru/openforum/vsluhforumID3/136778.html#21 Tue, 06 May 2025 14:30:05 GMT &gt; Единственное нормальное решение в случае, если это 146% нужно и избежать этого нельзя - это сделать HMAC с секретным ключом.<br>&gt; нормальное<br><br>Каким определением "нормальности" ты пользуешься?<br><br>Можно написать QueryBuilder, про который можно будет формально доказать, что использование имени таблицы взятого от пользователя без валидации не будет приводить к RCE. Оно всё же может приводить к обращению к таблице, к которой не хотелось бы обращаться (к таблице с ровно таким именем, который пользователь нам выдал, например, "; DROP TABLE users"), но это не RCE. На самом деле не только с именем таблицы так можно поступить, можно сделать так, что любые строки от пользователя переданные в любой метод QueryBuilder'а не приводили бы к RCE.<br><br>QueryBuilder может позволить совать внешние данные в СУБД, которая не поддерживает prepared statements, и не иметь никаких RCE. Проблемы PHP проистекают из того, что он настаивает на том, что раз у программиста есть конкатентация строк, то больше ему ничего не нужно для построени https://www.opennet.ru/openforum/vsluhforumID3/136778.html#20 Tue, 06 May 2025 05:55:12 GMT Знаешь такого Дурова? Вот он на том самом php никому не нужном и стал богатым и известным. Поэтому чушь не неси, это до сих пор один из самых популярных языков<br> https://www.opennet.ru/openforum/vsluhforumID3/136778.html#19 Tue, 06 May 2025 05:11:57 GMT Это что - php? Кто-то этим ещё пользуется?<br> https://www.opennet.ru/openforum/vsluhforumID3/136778.html#18 Mon, 05 May 2025 20:51:41 GMT Ну технологию ADO давно придумали и видимо это удобный способ написать дата провайдер в виде драйвера ADO чтобы программное обеспечение умеющее работать с ADO могло подключиться к твоему источнику данных.<br>