Релизнул модуль web shell для Yii 2.0:
Все заметки с тегом «Yii»
-
Yii 2.0 web shell
8 августа 2015
12 комментариев -
Yii 2.0.6
6 августа 2015
3 комментарияСостоялся релиз PHP фреймворка Yii версии 2.0.6.
Версия 2.0.6 является патч-релизом для ветки 2.0 и содержит более 70 небольших улучшений и исправлений, многочисленные улучшения документации и значительный прогресс с её переводом.
-
Yii 2.0.5 (исправление безопасности)
11 июля 2015
11 комментариевВышел Yii 2.0.5 исправляющий проблему с безопасностью, найденную в классе
yii\web\ViewAction. Настоятельно рекомендуется обновиться. Обновление полностью совместимо с 2.0.4, содержит только исправление безопасности и не поломает ваш код.Уязвимость в
ViewActionи заключается в возможности запускать любой PHP файл (или файл с расширением.php) на диске передав относительный путь через параметрview. Так как о проблеме сообщили через публичный трекер, мы исправили её и выпустили обновление немедленно.Для этой уязвимости мы зарезервировали номер CVE-2015-5467.
-
Пятиминутка PHP, выпуск 9
30 июня 2015
17 комментариевЗаписался в подкасте «Пятиминутка PHP». Получилось не 5 минут, а пол часа. Говорили про php-fig, Yii и другие интересные штуки.
-
Перестаньте использовать mcrypt
13 мая 2015
8 комментариевСегодня в очередной раз всплыла статья об распространённых ошибках при реализации шифрования. Сама по себе она ничего так, но местами учит плохому. А именно, использовать mcrypt.
Почему его не стоит использовать
mcrypt не обновлялся более десяти лет и не планирует. Авторы его забросили. В нём есть серьёзные недоработки.
И что делать?
Мы в Yii от него ушли в сторону OpenSSL, чего и вам советую. Реализовал переход, в основном, Tom Worster. У него есть серия интересных постов на тему.
-
Yii 2.0.4
11 мая 2015
КомментироватьРелизнули. Написал анонс на хабр. Он не очень подробный, так что буду рад раскрытию CHANGELOG с примерами там в комментариях.
-
Yii 2.0 HP Fortify WebInspect SQL Injection: Blind
10 апреля 2015
7 комментариевЗнакомые попросили проверить отчёт сканирования приложения Yii 2.0 на безопасность. Среди прочего HP Fortify WebInspect нашёл "SQL Injection: Blind" по URL:
http://example.com/post/view?id=10%27%09and%091%09%3d%09if(5%3d5%2c%09sleep(200)%2c%090)%09and%09%271%27%3d%271
что расшифровывается как
`10' and 1 = if(5=5, sleep(2000), 0) and '1'='1`
То есть классически закрыли кавычку и т.д.
Сделал тестовое приложение, запустил, получил страницу с постом с id = 10. То есть сканер среагировал на то, что нет ошибки или 404. Возможно, что SQL injection прошёл успешно.
Полез в код, там ничего особенного:
public function actionView($id) { $model = News::findOne($id); if (!$model) { throw new HttpException(404); } return $this->render('index', ['model' => $model]); }
Полез глубже и убедился, что параметр не вставляется в SQL. Используется prepared statement, всё как положено. Задумался.
Выполнил в консольке MySQL вот такое:
select * from post WHERE id = '10lalalallala';
Получил запись с id = 10 и вспомнил, что MySQL приводит строки к int-у почти как PHP. То есть, что бы мы не вставили после 10, MySQL переварит и не поперхнётся.
В итоге:
- С Yii всё хорошо.
- HP Fortify нашёл то, чего нет, и пометил как критическое.
-
Видео с лекции по архитектуре Yii 2 от Павла Климова
3 апреля 2015
16 комментариевПавел Климов, член основной команды разработчиков Yii, провёл лекцию по архитектуре Yii 2. Zfort Group выложили видео:
-
Yii 2 собирается разделить репозиторий
21 марта 2015
30 комментариевДля ускорения процесса релизов и того, чтобы придать официальным расширениям большую независимость мы думаем разделить расширения и шаблоны приложений на отдельные проекты GitHub. Ниже приведён предварительный план. Прежде чем что-либо менять мы хотели бы услышать ваше мнение и возможные предложения. Спасибо!
UPD: отклик был положительный, разделили.
-
yii2-shop, код с мастер класса в Екатеринбурге
10 марта 2015
26 комментариевНемного привёл в порядок и выложил код с мастер класса в Екатеринбурге. В нём отражена попытка создать витрину магазина на основе шаблона advanced.
