Атаки на приложения, использующие ImageMagick в конфигурации по умолчанию

13.11.2026 12:27 (MSK)

Координационный центр CERT (компьютерная группа реагирования на чрезвычайные ситуации), опубликовал предупреждение о выявлении уязвимостей, затрагивающих приложения и сайты, использующие библиотеку ImageMagick в конфигурации по умолчанию для обработки или преобразования изображений. Успешная эксплуатация позволяет атакующему читать и записывать файлы, насколько позволяют права доступа под которыми выполняется ImageMagick. Уязвимостям присвоено кодовое имя ImageTragick2, по аналогии с проблемой, выявленной в 2016 году.

За последние два месяца в ImageMagick устранено около сотни уязвимостей, но проблемы, о которых предупреждает CERT, вызваны не ошибками в коде ImageMagick, а использованием по умолчанию настроек, допускающих вызов внешних обработчиков для форматов SVG и PostScript. Обработчик в ImageMagick выбирается в зависимости от содержимого, а не расширения файла, поэтому если приложение фильтрует загрузки на уровне расширений атакующий может передать данные в форматах SVG или PostScript, например, под видом файлов с расширением JPEG или PNG.

Возможность эксплуатации уязвимости подтверждена в приложениях на базе Ruby on Rails и WordPress, но также не исключается и в других проектах, использующих ImageMagick для конвертации изображений, обрезки и создания миниатюр, таких как MediaWiki, ownCloud Classic и Redmine. Проблема также охватывает AI-инструменты, вызывающие ImageMagick при выполнении заданий, связанных с обработкой изображений.

Приводятся два сценария атаки:

Вызов обработчика содержимого на языке MSL (Magick Scripting Language) через передачу специально оформленного SVG-изображения, в котором элемент <image> содержит ссылку "xlink:href" на ресурс с протоколом "MSL:". ImageMagick интерпретирует содержимое этого ресурса как скрипт на языке MSL, при том, что в скриптах MSL допускаются операции записи и чтение файлов. Помимо MSL аналогичный трюк с SVG может быть использован и для обработки других опасных видов контента.
Вызов интерпретатора Ghostscript для обработки содержимого в формате PostScript. Ghostscript запускается с флагом "-dSAFER", который не ограничивает доступ к каталогу /tmp, что позволяет атакующему читать или изменять файлы в этом каталоге (например, приложения могут временно хранить в /tmp данные сеансов и загруженные файлы). В Ghostscript также регулярно находят уязвимости, позволяющие полностью обойти ограничение "-dSAFER" (последняя такая уязвимость раскрыта 10 ноября).

Для блокирования уязвимостей недостаточно обновления ImageMagick, а требуется изменение настроек в файле /etc/ImageMagick/policy.xml, в котором необходимо оставить только поддержку самых необходимых форматов и операций или как минимум запретить вызов внешних обработчиков для форматов MSL, MVG, PS, EPS и PDF. Помимо этого рекомендуется изолировать код для преобразования сторонних изображений в отдельном контейнере, проверять файлы не только по расширению, но и по содержимому, и настроить мониторинг логов ImageMagick на предмет сбоев и необычной активности.


   <policy domain="coder" rights="none" pattern="MSL"/>
   <policy domain="delegate" rights="none" pattern="gs"/>
   <policy domain="coder" rights="none" pattern="{PS,PS2,PS3,EPS,EPS2,EPS3,EPI,EPSF,EPSI,EPT,EPT2,EPT3,PDF,AI,EPDF,PDFA,POCKETMOD,XPS,PCL}"/>

исправить +4 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/66679-imagemagick

Ключевые слова: imagemagick, attack

Обсуждение (69)

1.3, Аноним (3), 13:15, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
"Майнеры соланы и монеро подрались у входа в серверную."

1.4, Аноним (4), 13:16, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]	–10 +/–
ImageMagick никогда не отличалась качеством. Типичный комбайн, написанный задней левой и умеющий 'все', но крайне х-во.

2.7, Аноним (7), 13:28, 13/11/2026 [^] [^^] [^^^] [ответить]	+5 +/–
О, ты не представляешь насколько она багованная, просто почитай ченджлоги. Но в данном случае это просто побочное следствие того, что сабж комбайн. Незаменимый и прекрасно справляющийся, надо заметить.

3.16, Аноним (16), 14:40, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
> Незаменимый и прекрасно справляющийся, надо заметить. Лет 10 назад заменил на libvips и забыл как страшиный сон ImageMagick и GraphicsMagic.

4.21, Аноним (21), 14:53, 13/11/2026 [^] [^^] [^^^] [ответить]	+3 +/–
Что люди только не делают лишь бы не пользоваться Pillow.

5.27, Аноним (16), 15:11, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
Это которая исключительно для питона? Спасибо, не надо.

6.56, Аноним (56), 19:29, 13/11/2026 [^] [^^] [^^^] [ответить]	+3 +/–
А минусы есть?

6.57, Аноним (57), 19:59, 13/11/2026 [^] [^^] [^^^] [ответить]

+1 +/–

> Это которая исключительно для питона? Спасибо, не надо.

Эмм... А тебе для чего надо?

Или ты думаешь, что на стороне сервака дергать сабж из башпортянок - это типа быстрее или удобнее.

7.66, Аноним (66), 21:55, 13/11/2026 [^] [^^] [^^^] [ответить]	–2 +/–
> на стороне сервака дергать сабж из башпортянок - это типа быстрее Вообще-то да, быстрее. На порядок. Ты бы сам тесты делал, а не верил интернету наслово что "башпортянки - это зло", при этом опуская что питон банально стартует медленнее, чем успеешь заметить медленность баша. Вот прям настолько всё плохо.

8.72, Аноним (57), 22:17, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
Вообще-то нет, медленнее Ибо спавнить процесс IM из башпортяни на каждую картин... текст свёрнут, показать

4.23, Аноним (7), 14:59, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
Эта не лучше. Жпеги гораздо более корявые у неё всегда получались, на том и расстались.

2.30, Ivan_83 (ok), 15:27, 13/11/2026 [^] [^^] [^^^] [ответить]	+3 +/–
Тут скорее проблема в том что писали это для локального использования, а потом прикрутили к вебне.

3.49, Аноним (-), 18:11, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
> Тут скорее проблема в том что писали это для локального использования, > а потом прикрутили к вебне. Она сама по себе ультра-мерзотная. Начиная с какой-то напитоняченой билдсистемы, задающей ожидания качества кода - и заканчивая адски кривым апи, софтом под стать, страшенным ифейсом программ-примеров, вот это все. В либе все должно быть ужасТно, билдсистема, апя, примеры, тулсы, качество кода... видимо как-то так. Не, качественным софтом не выглядит. Вот то что писано волшебными, сказочными ... - пожалуй.

3.58, Аноним (57), 20:02, 13/11/2026 [^] [^^] [^^^] [ответить]	+2 +/–
> Тут скорее проблема в том что писали это для локального использования Лол. Никогда сабж не пользовался локально, за исключением разве что линукс-любителей посношаться с консолькой. Локально люди человеческие редакторы используют.

4.59, Ivan_83 (ok), 20:13, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
Зачем мне ваш редактор если мне, к примеру, надо сконвертить все файлы в одной папке в другой формат или сменить разрешение?

5.61, Аноним (57), 20:43, 13/11/2026 [^] [^^] [^^^] [ответить]

+1 +/–

>> любителей посношаться с консолькой
> Зачем мне ваш редактор

Ты вообще не понял, что я написал, не так ли?

> сконвертить все файлы в одной папке в другой формат или сменить разрешение?

Лол. Для этого даже редактор не нужен, ибо така пакетная обработка есть в любом человеческом просмотрщике изображений еще с начала нулевых. Но откуда об этом знать любителю посношаться с консолькой, да?

6.62, Аноним (62), 20:56, 13/11/2026 [^] [^^] [^^^] [ответить]	–1 +/–
Понимаешь ли, в твоей пакетной обработке в утилсах для лам придется клацать кн... большой текст свёрнут, показать

7.64, Аноним (57), 21:18, 13/11/2026 [^] [^^] [^^^] [ответить]	+1 +/–
Чувак, лучше не начинай эту тему 128514 Ибо если мы сейчас посчитаем, скольк... большой текст свёрнут, показать

7.65, Аноним (65), 21:50, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
А при написании шелл-скриптов не надо, да Выбрать пресет в условном HandBrake -... большой текст свёрнут, показать

1.6, Аноним (7), 13:26, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]	+6 +/–
Проснулись, уже много лет об этом известно. Им стоило бы прозрачней быть на эту тему, а то нюфани регулярно находят эту "уязвимость".

1.9, Аноним (9), 13:59, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]	–4 +/–
С каждым годом отпадает желание держать свой сайт в интернете. Твой сервер по умолчанию пытаются взломать боты. Время действий сертификата урезают. Притом главный инициатор этого самая "Питерская" (те->до) компания в мире. А еще каждую неделю выявляются уязвимости. Чтобы купить домен, пройди еще верификацию. А еще цены на все сервера улетели. Вот сегодня кого то взломают из-за ImageMagick.

2.11, тоже Аноним (ok), 14:01, 13/11/2026 [^] [^^] [^^^] [ответить]	+5 +/–
Ну, хоть у кого-то отбили желание сделать еще один сайт. Слава нейронкам!

2.17, ryoken (ok), 14:41, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
>>держать свой сайт в интернете А если в Tor-е, как .onion? :)

3.37, Аноним (37), 15:46, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
что равносильно сайту с доступом по инвайтам.

2.43, Аноним (43), 17:19, 13/11/2026 [^] [^^] [^^^] [ответить]	+3 +/–
Не держи Серьёзно, не должно быть в интернете ресурсов поддерживаемых морально ... большой текст свёрнут, показать

1.10, тоже Аноним (ok), 13:59, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
В Дебиане, например, просто из коробки запрет IM на обработку PS (в частности, PDF). Приходилось включать там, где мне все-таки надо. Но у меня на этот сервер не прилетают файлы неизвестно откуда, только свои рабочие материалы. Так что сценарии всех найденных нейронками уязвимостей - мимо.

1.12, Аноним (12), 14:15, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]	–5 +/–
>выбирается в зависимости от содержимого, а не расширения файла Это классическое жлобство: "мы лучше тебя знаем, что этот файл с расширением JPG надо обрабатывать как PDF" Сколько в винде от этого жлобства вирусни случилось, но оно продолжает жить.

2.13, Аноним (13), 14:20, 13/11/2026 [^] [^^] [^^^] [ответить]	+6 +/–
> мы лучше тебя знаем, что этот файл с расширением JPG надо обрабатывать как PDF Вообще-то, так и должно быть. Мало ли как называется файл, смотреть надо на сигнатуры, мэджик байтс.

3.14, Аноним (7), 14:33, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
Тут тоже прикол в том, что та же libmagic адово кривая и полагаться на неё бесполезно -- в следущем обновлении всё развалится. Вон зип файлы регулярно перестаёт распознавать. Если изучить вопрос, её разработкой заняты адовые упыри. Кстати, объясни вот мне, зачем регулярно переименовывают png в jpg и jpg с webp в png?

4.20, Diozan (ok), 14:52, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
>>> Кстати, объясни вот мне, зачем регулярно переименовывают png в jpg и jpg с webp в png? Не все сервера и браузеры знают, что делать с png или webp. У них могут быть не прописаны соответствующие MIME-типы.

3.19, Аноним (12), 14:52, 13/11/2026 [^] [^^] [^^^] [ответить]	+3 +/–
>Вообще-то, так и должно быть. Мало ли как называется файл Вообще-то, если внутри файла с расширением JPG находится EXE или PDF, следует генерировать ОШИБКУ "не верный формат", а не запускать на исполнение EXE или Ghostscript с флагом "-dSAFER"

4.33, User (??), 15:37, 13/11/2026 [^] [^^] [^^^] [ответить]	+3 +/–
>>Вообще-то, так и должно быть. Мало ли как называется файл > Вообще-то, если внутри файла с расширением JPG находится EXE или PDF, следует > генерировать ОШИБКУ "не верный формат", а не запускать на исполнение EXE > или Ghostscript с флагом "-dSAFER" Ну, в этих вот самых "юниксах" расширение файла значит примерно "ничего" - в свое время неочевидно было создателям, что (не все) люди не содержимое файла смотрят, чтобы понять что это - а вот глазами во что-то более человекочитаемое хотят. Ну и соответственно, если программа, работающая с данными получает на вход эти "данные" в поддерживаемом (И не запрещенном политикой по умолчанию) виде - то было бы немного так странно, если бы она ничего с ними не делала, м?

5.41, Аноним (12), 16:12, 13/11/2026 [^] [^^] [^^^] [ответить]

–2 +/–

>Ну, в этих вот самых "юниксах" расширение файла значит примерно "ничего"

Прежде чем нести пургу, открой /etc/mime.types - MIME media types and the extensions that represent them

6.42, User (??), 16:27, 13/11/2026 [^] [^^] [^^^] [ответить]	+2 +/–
>>Ну, в этих вот самых "юниксах" расширение файла значит примерно "ничего" > Прежде чем нести пургу, открой /etc/mime.types - MIME media types and the > extensions that represent them И ЧО? Васяны из freedesktop распространяют свою базюлю - молодцы какие! А с какого бодуна софтина должна её использовать? Или вот не xdg-mime, а /etc/mime.types? POSIX "расширение файла" как аттрибут есть? Нету? Что ты будешь делать. Может какой RFC, обязывающий учитывать расширение файла как спецификатор содержимого найдется? Что, тоже нет? Может где-то в стандартах про этот mime.types чего написано? Ой, опять не нашли. Беда прям какая-то, правда?

7.52, Аноним (52), 18:38, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
Опять пурга! Ну при чем тут freedesktop? Расширение у файла было придумано именно в Юниксе, задолго до freedesktop и до рождения большинства местных икспердов, исключительно с целью определения типа файла не читая его.

8.63, User (??), 21:08, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
Еще раз - posix стандарт или принятый rfc на этот счёт - есть ... текст свёрнут, показать

4.38, Ivan_83 (ok), 15:47, 13/11/2026 [^] [^^] [^^^] [ответить]

–1 +/–

Дорогой друг, только представь что ты сам пишешь этот имагемажок или просто файловый манагер.

Вот у тебя есть 10005000 разных файлов разных форматов, твоя поделка сама их не обрабатывает, она только вызывает готовые обработчики.
Понятно что проще всего определять внешний обработчик по некоторой метаинфе предоставленной вместе с файлом.

Если ты хочешь сам написать детектор форматов - удачи тебе, пару подобных утилит я видел, работают они часто с некоторой вероятностью и не все форматы способны в принципе отличать.

Типа как ты отличишь .txt / .c / .js / .html?

5.70, yet another anonymous (?), 22:08, 13/11/2026 [^] [^^] [^^^] [ответить]

+/–

Дорогой незнакомый друг!

В мире, отличном от того, который последие два дня колбасит, есть такая весчЪ

man file

3.44, Аноним (43), 17:23, 13/11/2026 [^] [^^] [^^^] [ответить]	–1 +/–
> Вообще-то, так и должно быть. Мало ли как называется файл, смотреть надо на сигнатуры, мэджик байтс. Бред какой. Это значило бы что рандомный мусор может идентифицироваться как любой формат. У чего-то, надёжных сигнатур вообще нет, .ico например. Это требует декомпрессии для сжатого контента. Ещё миллион причин. Нормальный софт работает явно и детерминировано, значит смотрит на расширение или mime.

4.47, Аноним (47), 17:54, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
Ну решил ты по расширению, что это, скажем, PNG. Открываешь файл, а у тебя вместо картинки калькулятор запускается. Что, впервые что ли?

5.50, Аноним (43), 18:18, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
> Ну решил ты по расширению, что это, скажем, PNG. Открываешь файл, а у тебя вместо картинки калькулятор запускается. Что, впервые что ли? Если ты открываешь png файл, а у тебя запускается калькулятор, то при открытии файла как раз таки импользуется тот самый механизм определения типа файла по сигнатуре, а не расширению, которого быть не должно.

2.46, warlock66613 (ok), 17:44, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
В UNIX вообще нет понятия "расширение файла", это просто суффикс для удобства человека.

3.51, Аноним (43), 18:20, 13/11/2026 [^] [^^] [^^^] [ответить]	–1 +/–
Понятие расширение файла есть везде, где в имени файла можно ставить точку.

4.54, Дякую (?), 19:05, 13/11/2026 [^] [^^] [^^^] [ответить]	+1 +/–
Правда? И какое тут у меня расширение? $ ls -la /tmp total 792 drwxrwxrwt 165 root root 131072 Nov 13 19:03 . drwxr-xr-x 25 root root 4096 Dec 17 2025 ..

4.60, Энтомолог_русолог (ok), 20:31, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
Классно! А если у тебя файл зовут image.jpg.png.pdf.sh? Какое у него расширение? А то точки на месте, вон сколько точек, можем еще отсыпать. Ты скажешь «sh», но это будет противоречить твоим словам, что все дело только в точках в имени. Так какое?

2.68, Аноним (66), 22:02, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
Именно поэтому в винде по умолчанию у файлов скрыто расширение в проводнике, а экзешники запускаются без вопроса "точно ли вы хотите запустить эту программу", ага, поверил.

1.15, ryoken (ok), 14:39, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
>> зависимости от содержимого, а не расширения файла Меня вот учили, что в линуксовых ФС нет расширения и все символы это имя файла. А расширения - удел всяких FAT & NTFS. Что-то поменялось?

2.18, Аноним (16), 14:48, 13/11/2026 [^] [^^] [^^^] [ответить]	–4 +/–
Ну вот из этого уязвимость то и выросла, что в IM смотрели в содержимое, а не на расширение. Ну и большинство в мире пользователей все-таки нормальные люди, которые смотрят на расширение файла, а не в бинарный код файла в HEX редакторе, чтобы понять, чем открыть файл.

3.29, Аноним (-), 15:27, 13/11/2026 [^] [^^] [^^^] [ответить]	+1 +/–
Большинство пользователей вообще не смотрят, а просто кликают на файл. А уже система смотрит, что с этим файлом сделать. Обычно - в соответствии с MIME типом, но есть варианты. Помнится, винда раньше запускала файлы с названием setup.exe с особыми привилегиями.

3.32, Аноним (32), 15:36, 13/11/2026 [^] [^^] [^^^] [ответить]

+1 +/–

> нормальные люди, которые смотрят на расширение файла,

ага, именно поэтому винда их скрывает, а каждое 2е письмо на почту это файл _моя_голая_фоточка.jpg.exe

вам 5 лет чтоли? если на обертке вкусных конфет писать вкусная конфета, то это конечно удобно, вот только от вкуса продажи тогда зависеть не будут и писать начнут все.

2.24, User (??), 15:00, 13/11/2026 [^] [^^] [^^^] [ответить]	+1 +/–
Ну, вас учили, создателей imagemagick нимношк учили - А сайтописак, фильтрующих пользовательский ввод вот по расширению - не учили, откуда беды и воспроизошли...

3.28, Аноним (16), 15:13, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
Беда то как в том, что в содержимое посмотрели. Новость то прочтите внимательней. Неудобно, получилось, да.

4.31, User (??), 15:34, 13/11/2026 [^] [^^] [^^^] [ответить]	+1 +/–
> Беда то как в том, что в содержимое посмотрели. Новость то прочтите > внимательней. Неудобно, получилось, да. Нет, ну было бы странно, если бы программа, работающая с данными в эти самые "данные" бы не посмотрела?

2.26, Diozan (ok), 15:06, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
>>> зависимости от содержимого, а не расширения файла > Меня вот учили, что в линуксовых ФС нет расширения и все символы > это имя файла. А расширения - удел всяких FAT & NTFS. > Что-то поменялось? Как-то плохо вас учили. Файловой системе по барабану расширение. На него смотрят программы, обрабатывающие эти файлы (или не смотрят... хе-хе)...

3.35, Аноним (32), 15:42, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
да это явно адепт секты дос, мне в 90х тоже чтото такое рассказывали, но тогда я был мелкий и не вникал, а потом подрос и понял что платить за длину имени както тупо и ушел на линукс.

4.36, Аноним (36), 15:43, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
Файловой системе DOS расширение тоже было по барабану.

5.39, pkdr (ok), 16:03, 13/11/2026 [^] [^^] [^^^] [ответить]	+1 +/–
Зато не по барабану было для операционной системы MS DOS и её клонов.

6.53, Аноним (36), 19:02, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
Вообще-то именно про неё и речь.

2.40, pkdr (ok), 16:07, 13/11/2026 [^] [^^] [^^^] [ответить]	+1 +/–
В самой ФС FAT расширения тоже не было, там было просто имя файла длиной 11 байт, последние 3 байта имени превращались в расширение уже силами ОС и утилит для работы с этой ФС.

2.45, Аноним (43), 17:32, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
> Меня вот учили, что в линуксовых ФС нет расширения и все символы это имя файла. А расширения - удел всяких FAT & NTFS. Что-то поменялось? Ничего не поменялось, это по сути просто всегда было неправдой, во всех перечисленных фс имя файла с расширением - единая строка. Отдельным полем оно было на древностях типа FAT16, в FAT32/NTFS перекочевало только в виде "совместимых" 8.3 имён.

1.25, Tron is Whistling (?), 15:02, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
Пффт, это как бы не уязвимость, это фича.

1.34, Ivan_83 (ok), 15:39, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Удачи в пустом chroot найти какие то файлы кроме тех что пришли тем же путём ... большой текст свёрнут, показать

2.48, Аноним (47), 18:00, 13/11/2026 [^] [^^] [^^^] [ответить]	+2 +/–
Кто о чём, а ванька опять про свои чруты. То, что через дырку в im слили базу клиентов со всеми PII ему до лампочки, главное что /tmp защитил.

3.55, Ivan_83 (ok), 19:26, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
Конечно до лампочки, не моя же база.

1.67, Аноним (67), 21:56, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
Казалось бы, зачем в формате картинок SVG поддержка операций по работе с файлами. Почему например в JPG нет поддержки операций по работе с UDP пакетами?

2.73, Аноним (73), 22:34, 13/11/2026 [^] [^^] [^^^] [ответить]	+/–
В JPG есть поддержка всего _операции_с_UDP_пакетами.jpg

1.71, Аноним (71), 22:14, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Конфиг с черным списком выглядит плохо. Надо белый список, и явно разрешать конкретно JPEG, PNG и еще что-то например. А так - в песочницу гада, пусть там сидит. Альтернатив все равно пока вроде толком нет :(( И да, дыры в сабже периодически находили сколько себя помню.

игнорирование участников | лог модерирования

Добавить комментарий

Текст: