セッションIDがURLに付加される環境に対応

サーバーの php.ini の設定で 透過的にセッション IDを付加する設定」が有効(session.use_trans_sid = 1)になっている場合、セッションIDがURLに自動的に埋め込まれます。

これは、クッキーなどを利用しないで、閲覧者を特定できるので、使いようによっては便利なのですが、セッションIDが外部に漏れる危険性が多分にあり、管理者権限でログインしたときのセッションIDが漏れ、しかもセッションの有効期限内だと簡単に管理者権限を得ることができ危険な側面もあります。

今回は、XOOPSのブロックにPukiWikiModのページを表示した場合に上記の問題からサーバー上での権限が第三者に得られてしまう危険があるので、セッションIDを削る修正をしました。
ただ、通常Webサーバー上で Apacheと同じ実行アカウントでブラウザを起動し、*1XOOPSにログインすることはないと思うので、管理者権限が漏れることはないと思います。
しかし、php.ini で session.use_trans_sid = 1 にセットされ、しかもWebサーバー上で、Apacheと同じ実行アカウントでブラウザを実行し、XOOPSにログインしている場合は、直ちに CVSから最新版をダウンロードして、適用してください。

また、この問題と若干関連するのですが、URLリンクに自動的にセッションIDが埋め込まれるために、Wikiページが正常に開けないことがある問題も修正しました。

コメント

• 少し気になることが CVS の tarball うちで展開するとタイムスタンプが 1970-01-01 09:00:00 なのですが...取り立ててうちでは問題は無いのですが展開の際に毎回メッセージが出ます -- kisite 2004-10-22 (金) 03:55:39
  • ん？なんでだろう。sourceforge.jp の仕様と解凍ソフトの相性問題かな？ -- nao-pon 2004-10-22 (金) 09:02:56
• 重要なファイルCVS:blocks/pukiwiki_page.phpをコミットし忘れていました。
  2004/10/22 am 9:57:41(JST) 以前にDLした方はお手数ですが追加DLしてください。 -- nao-pon 2004-10-22 (金) 09:04:07