{BUGFIX} Useraccount / Paid4Klick

Wie ich gerade erfahren habe, hat mein 3 Jahre alter Useraccount und Paid4Klick Tatsache nen großen Sicherheitsfehler - deshalb hier ein Bugfix - ich hoffe es lesen alle die diese Scripte noch in Betrieb haben:


BugFix:

Nach diesem Code erweitern [ files/index.php ]


if(!$loadsite) {
if($array=split("\&", getenv('QUERY_STRING'))) { $loadsite=$array[0]; }
else { $loadsite=getenv('QUERY_STRING'); }
}


update, damit auch seiten mit _ funktionieren, wie z.b. piraten_slot

if(!preg_match('/^[a-z0-9_]+$/iD',$loadsite) OR substr($loadsite,0,5)=="admin"){ $loadsite=false; }

Auf Wunsch übernehme ich den Bugfix auch - ich hoffe der Theard bleibt hier erhalten, auch wenns nicht Lose4Scripts ist.

Update benutzt:

if(substr($loadsite,0,5)=="admin" OR $loadsite{0}=="." OR $loadsite{0}=="/"){ $loadsite=false; }

ODER, sowiefern ihr PHP 4 oder höher habt, ne bessere Variante:

if(!ctype_alnum($loadsite) OR substr($loadsite,0,5)=="admin"){ $loadsite=false; }