Forum

J'ai testé les vulnérabilités de mon site, et le rapport est positif, je voulais donc savoir si ca venait du cms ou de mon site:



Rapport :



Target : http://www.shiftproduction.net

Server banner : Apache/2.2.17 (Unix)

Operating system : Unix

Web server Apache : 2.x

Technologies : PHP



Vulnerability description :

The remote proxy server can be used to send CONNECT requests.

The proxy allows everyone to perform CONNECT HTTP requests to arbitrary ports, such as:

CONNECT www.acunetix.com:25

This may allow attackers to bypass your firewall and connect to sensitive ports like 23 (telnet), 25 (sendmail) using the proxy. A spammer may be using your proxy to send bulk email.

This vulnerability affects Server.

The impact of this vulnerability

Firewall bypass, possible information disclosure



Attack details

The proxy server is running on TCP port 80.



Une autre moins importante :



Vulnerability description

By this form input is possible to upload a file to the server.

This vulnerability affects /member/register_valid.php.

The impact of this vulnerability

User may upload malicious files to server.

Citation :

Vulnerability description :



The remote proxy server can be used to send CONNECT requests.



The proxy allows everyone to perform CONNECT HTTP requests to arbitrary ports, such as:



CONNECT www.acunetix.com:25



This may allow attackers to bypass your firewall and connect to sensitive ports like 23 (telnet), 25 (sendmail) using the proxy. A spammer may be using your proxy to send bulk email.



This vulnerability affects Server.



The impact of this vulnerability



Firewall bypass, possible information disclosure







Attack details



The proxy server is running on TCP port 80.

Ton serveur.

Citation :

Vulnerability description



By this form input is possible to upload a file to the server.



This vulnerability affects /member/register_valid.php.



The impact of this vulnerability



User may upload malicious files to server.

Là ça vient de l'inscription, mais ne t'en fait pas, nous vérifions les fichiers uploadé dans notre script.

Daccord, merci

meme trop



le script d'upload, ou plutot la partie upload, est configurable dans l'administration.

cela permet de controler le type de fichier.



pbt quant a lui controle pas mal de chose, mais certains souci en découle, qui sont cependant en fonction de la fonctionnalité/gravité, négligeable.



en plus clair les gif animé ne sont plus animé apres upload (il me semble, je devrais peut etre veriifier)

par contre la transparence de gif saute. pas des png.



le script verifie les fichier inclus dans le fichier ex : taupe.php.png

donc de ce cotes là pas de souci c'est un faux positif.

Tu es sur ? Je pense que ça c'est pour la gallerie où il me semble que toutes les images sont retravaillés. D'ailleurs pour le redimensionnement, j'ai créé une petite classe sympa qui gère la transparence. Il faudrait que je l'intègre dans la gallerie