Kei te whare pukapuka , e whakarato ana i nga kaihautu ki te tiaki na roto i te whakakapi i nga konae ki te whakatakotoranga "Phar", (), e taea ai e koe te karo i te whakamarumarutanga whakamaarama waehere ma te whakakapi i nga tohu ".." i te ara. Hei tauira, ka taea e te kaiwhaiwhai te whakamahi i tetahi URL penei i te "phar:///path/bad.phar/../good.phar" mo te whakaeke, a ka tohua e te whare pukapuka te ingoa turanga "/path/good.phar" ina te tirotiro, ahakoa i te wa e tukatuka ana i taua ara Ka whakamahia te konae "/path/bad.phar".
I whakawhanakehia te whare pukapuka e nga kaihanga o te CMS TYPO3, engari kei te whakamahia ano hoki i roto i nga kaupapa Drupal me Joomla, na reira ka whakaraerae ano ratou ki nga whakaraeraetanga. Kua whakatauhia te take i roto i nga putanga . I whakatikahia e te kaupapa Drupal te take i roto i nga whakahoutanga 7.67, 8.6.16 me 8.7.1. I Joomla ka puta te raruraru mai i te putanga 3.9.3 ka whakatikahia i te tukunga 3.9.6. Hei whakatika i te raru i TYPO3, me whakahou koe i te whare pukapuka PharStreamWapper.
I runga i te taha mahi, he whakaraeraetanga i roto i te PharStreamWapper ka taea e tetahi kaiwhakamahi Drupal Core whai mana 'Whakahaere kaupapa' ki te tuku ake i tetahi konae phar kino me te tuku i te waehere PHP kei roto kia mahia i raro i te ahua o te puranga phar tika. Kia maumahara ko te ngako o te whakaekenga "Phar deserialization" ko te tirotiro i nga konae awhina kua utaina o te mahi PHP file_exists(), ka whakakore aunoa tenei mahi i nga metadata mai i nga konae Phar (PHP Archive) i te wa e tukatuka ana i nga huarahi ka tiimata me te "phar: //" . Ka taea te whakawhiti i te konae phar hei ahua, na te mea ko te mahi file_exists() ka whakatau i te momo MIME ma te ihirangi, kaua ma te toronga.
Source: opennet.ru