Le SP2 et les transfers de fichiers .html

[Pulsar-san]

Je fais face à un problème embêtant suite à l'installation du pack SP2 chez certains de mes membres.

Lors de l'upload de fichier .htm/.html par une form du type

Code: Tout sélectionner

print "<form method=POST action='modules.php?name=storyline&set=cpanel&part=addst' enctype='multipart/form-data'>";
print "<input type='file' name='upchapa' size=50>";
print "</form>";


et qu'on récupère la structure du fichier en utilisant $_FILES, le type n'est pas respecté.

Code: Tout sélectionner

$_FILES["upchapa"]["type"] donne "text/plain" au lieu de "text/html"


J'ai fait le test avec un pc WIN XP PRO SP1, ça passe sans problème.
Après l'installation du SP2 j'ai le même problème que mes membres.
Donc c'est bien le SP2 qui est responsable.

Une raison de plus pour que je n'installe pas le SP2 sur mon serveur

[Monique]

Bonjour,

"text/plain" au lieu de "text/html"

... sécurité oblige !

Le problème, c'est la manière de résoudre les problèmes de sécurité : supprimer la cause plutôt que d'essayer de la contrôler.

Amicalement,
Monique

[Pulsar-san]

Hélas, hélas, trois fois hélas
Le problème, c'est que ça introduit une faille de sécurité puisque qu'on peut alors envoyer un fichier html et le faire passer pour un fichier texte.
Comme seule la détection du type est erronée, une fois le fichier uploadé celui-ci peut être appelé et bel et bien être traité comme un fichier html !

[rebirth]

Moi je trouve pas ca mauvais de limiter les actions des utilisateurs Windows...
S'ils pouvaient un peu moins pourrir ma BAL de leurs virus

[Pulsar-san]

Moi je trouve pas ca mauvais de limiter les actions des utilisateurs Windows...
S'ils pouvaient un peu moins pourrir ma BAL de leurs virus

Ben justement, là ça ne limite plus rien puisque le serveur ne peut plus reconnaitre le type du fichier envoyé

[rebirth]

J'ai du mal a voir en quoi c'est une faille...
C'est plutot cote serveur qu'il faut verifier qui est qui et qui fait quoi....
Pas laisser le navigateur d'un visiteur nous "assurer" qu'il s'agit bien d'un fichier texte et ou HTML

[Pulsar-san]

Justement, c'est ce que je dis.
Le serveur ne peut plus reconnaitre correctement le fichier envoyé du fait que l'encapsulage de celui-ci est erroné.

[Juxener]

<troll>Windows pour un serveur ??
Linux POWAAAA !!</troll>