Haltet eure PHP-Software aktuell!

[Christian Kruse]

你好 TomIRL,

ich rate auch in der php.ini allow_url_fopen auf Off zu stellen.

Toller Tip!

Richtig, der Tipp ist gar nicht mal so schlecht. allow_url_fopen() ist
einer der Haupt-Verursacher für solche Sicherheitsprobleme.

Hauptverursacher ist IMHO der User mit dem Buggy Script.

Hauptverursacher ist eine konzeptionelle Schwäche in PHP.

Wie willst du ohne allow_url_fopen sonst beispielsweise Datenbestände von
verschiedenen Servern aktualisieren?

Warum sollte ich include(), fopen() oder ähnliche _Datei_-Operationen
nutzen, um das zu tun? Gäbe es Extra-Funktionen für den Zugriff auf
externe Ressourcen (z. B. über HTTP), dann wären die meisten Probleme
gleich erschlagen.

Problematisch ist es allemal irgendwas auf Servern ausführbar zu machen,
das ist aber kein PHP Problem und erst recht kein Problem von
allow_url_fopen.

Es ist eindeutig eine konzeptionelle Schwäche von PHP.

再见,
克里斯蒂安