[Risolto] - Budget in iscrizione e Tempo limite modifica storia

Pagine → 1 2

19/10/2023 23:05:27 e modificato da pharros il 20/10/2023 00:39:39

So che questa discussione risulta già essere stata segnalata come "risolta"; ma laddove qualcuno dovesse aver bisogno di questo fix... ci tengo a dire che il fix suggerito da kasa sulla questione del "tempo limite di modifica della storia" presenta un piccolo buco di sicurezza.

Il codice proposto è stato il seguente:

<?php

$dataIscrizione = new DateTime($record['data_iscrizione']);
$now = new DateTime();

if(($date->diff($now)->days <= 10) || $_SESSION['permessi'] >= GAMEMASTER) {
?>
<div class='form_field'>
<textarea type="textbox" name="modifica_background" class="form_textarea">
<?php echo gdrcd_filter('out', $record['descrizione']); ?>
</textarea>
</div>
<?php
} else {
?>
<input type="hidden" name="modifica_background" value="<?php echo gdrcd_filter('out', $record['descrizione']); ?>"
<?php
}
?>

Tralasciando il fatto che $record['descrizione'] doveva essere in realtà $record['storia'] e che name="modifica_background" dovevea essere name="modifica_storia".. il vero problema è che questo fix NON disabilita la possibilità per l'utente di modificare la storia; nasconde l'input e basta.

Un utente smaliziato potrebbe aprire la console di sviluppo e modificare manualmente il campo hidden, trasformandolo magari in un campo text o in un'area di testo, e modificare con questo piccolo escamotage la storia del personaggio.

Una soluzione più sicura a questo problema è modificare la query di UPDATE che si trova sotto la struttura condizionale if ($_POST['op'] == 'modify') inserendovi l'istruzione storia = '" . gdrcd_filter('in', $_POST['modifica_storia']) . "' soltanto se l'utente risulta iscritto da meno di 10 giorni; inoltre, il campo type="hidden" va proprio estirpato...

Fornirei un codice completo ma adesso è tardino, semmai lo inserirò domani ma nel frattempo volevo avvisare di questo piccolo problema che è meglio correggere.

If you put your mind to it, you can accomplish anything

quota

Discussione seguita da › sallys › moonspell › pharros

Pagine → 1 2

Rispondi alla Discussione Segui Discussione Inoltra Discussione Forum Programmazione, GDRCD, Open Source, Hosting Elenco Forum