paginator 1.6.3 con fallo xss

[Tooj]

Hola.

Hace unos dias comentaba un error en paginator 1.6.3. El cual con ayuda hemos resuelto facilmente

http://www.forosdelweb.com/f18/pagin...-error-936617/

sin embargo he vuelto a encontrar un fallo, que al parecer es en la propagación de url.

digamos que estas es la url a la pagina 2

'http://web.abc/seccion.php?tema=54&_pagi_pg=2'

el problema esta, no entiendo bien, en que el ataque xss se aprovecha de un posible fallo en la propagación de la url y altera la url. eso lo descubri con el acunetix.

http://web.abc/seccion.php?_pagi_pg=...bad%3d%27'

http://web.abc/seccion.php?_pagi_pg=2&tema=' onmouseover=prompt(923740) bad='

es decir, intercambia _pagi_pg por tema y viceversa

es un xss no persitente, pero me gustaria arreglar este problemilla.

a continuación pongo parte del codigo.

Código PHP:

  /* 
 * Propagación de variables por el URL. 
 *------------------------------------------------------------------------ 
 */ 
 // La idea es pasar también en los enlaces las variables hayan llegado por url. 
 $_pagi_enlace = $_SERVER['PHP_SELF']; 
 $_pagi_query_string = "?"; 
  
 if(!isset($_pagi_propagar)){ 
     //Si no se definió qué variables propagar, se propagará todo el $_GET (por compatibilidad con versiones anteriores) 
    //Perdón... no todo el $_GET. Todo menos la variable _pagi_pg 
    if (isset($_GET['_pagi_pg'])) unset($_GET['_pagi_pg']); // Eliminamos esa variable del $_GET 
    $_pagi_propagar = array_keys($_GET); 
 }elseif(!is_array($_pagi_propagar)){ 
    // si $_pagi_propagar no es un array... grave error! 
    die("<b>Error Paginator : </b>La variable \$_pagi_propagar debe ser un array"); 
 } 
 // Este foreach está tomado de la Clase Paginado de webstudio 
 // (http://www.forosdelweb.com/showthread.php?t=65528) 
 foreach($_pagi_propagar as $var){ 
     if(isset($GLOBALS[$var])){ 
        // Si la variable es global al script 
        $_pagi_query_string.= $var."=".$GLOBALS[$var]."&"; 
    }elseif(isset($_REQUEST[$var])){ 
        // Si no es global (o register globals está en OFF) 
        $_pagi_query_string.= $var."=".$_REQUEST[$var]."&"; 
    } 
 } 
 
 // Añadimos el query string a la url. 
 $_pagi_enlace .= $_pagi_query_string; 
  
//------------------------------------------------------------------------ 
 
 
/* 
 * Generación de los enlaces de paginación. 
 *------------------------------------------------------------------------ 
 */ 
 // La variable $_pagi_navegacion contendrá los enlaces a las páginas. 
 $_pagi_navegacion_temporal = array(); 
 if ($_pagi_actual != 1){ 
    // Si no estamos en la página 1. Ponemos el enlace "primera" 
    $_pagi_url = 1; //será el número de página al que enlazamos 
    $_pagi_navegacion_temporal[] = "<a ".$_pagi_nav_estilo_mod." href='".$_pagi_enlace."_pagi_pg=".$_pagi_url."'>$_pagi_nav_primera</a>"; 
 
    // Si no estamos en la página 1. Ponemos el enlace "anterior" 
    $_pagi_url = $_pagi_actual - 1; //será el número de página al que enlazamos 
    $_pagi_navegacion_temporal[] = "<a ".$_pagi_nav_estilo_mod." href='".$_pagi_enlace."_pagi_pg=".$_pagi_url."'>$_pagi_nav_anterior</a>"; 
 }  
   

la verdad no se bien como resolverlo, pero creo que se podría pasar la cadena de variables que forma la url en el motor del blog directo a paginator

ustedes que dicen?

saludos

[Triby]

De hecho, parece que lo unico que tienes que hacer es definir $_pagi_propagar antes de incluir el script del paginator, revisa esta parte:

Código PHP:

// Codigo de paginator:
 
/*
 * Propagación de variables por el URL.
 *------------------------------------------------------------------------
 */
 // La idea es pasar también en los enlaces las variables hayan llegado por url.
 $_pagi_enlace = $_SERVER['PHP_SELF'];
 $_pagi_query_string = "?";
 
 if(!isset($_pagi_propagar)){
     //Si no se definió qué variables propagar, se propagará todo el $_GET (por compatibilidad con versiones anteriores)
    //Perdón... no todo el $_GET. Todo menos la variable _pagi_pg
    if (isset($_GET['_pagi_pg'])) unset($_GET['_pagi_pg']); // Eliminamos esa variable del $_GET
    $_pagi_propagar = array_keys($_GET);
 }elseif(!is_array($_pagi_propagar)){
    // si $_pagi_propagar no es un array... grave error!
    die("<b>Error Paginator : </b>La variable \$_pagi_propagar debe ser un array");
 }
 

Entonces, tu codigo deberia ser:

Código PHP:

$_pagi_propagar = array('var1', 'var2', 'varN');
 
// Aqui deberias ejecutar una funcion para limpiar todo lo que estes recibiendo por $_GET
// En el foro hay varios aportes al respecto
 
include 'script_del_paginator.php';
 

Ejemplo de funcion de limpieza : http://www.forosdelweb.com/3497564-post2.html

Deberias hacer un ciclo para limpiar cada valor.