Различия

Показаны различия между двумя версиями страницы.

--- wiki:devel:security [2025/01/03 17:36] – [Typical Vulnerability Example] vladpolskiy
+++ wiki:devel:security [2025/01/03 17:48] (текущий) – [Reporting Security Issues] vladpolskiy
@@ Строка 218: / Строка 218: @@
 Это один из примеров CSRF. Теперь, как исправить эту дыру в безопасности?
-==== Prevent CSRF ====
+==== Предотвращение CSRF-атак ====
-Remember your form above? Let's add an input in it:
+Помните вашу форму выше? Давайте добавим в нее ввод:
 <code html>
@@ Строка 231: / Строка 231: @@
 </code>
-Do you see the first input? Yes? Good. Now you have to check the security token when you receive the form, before processing it:
+Видите первый ввод? Да? Хорошо. Теперь вам нужно проверить токен безопасности при получении формы, перед ее обработкой:
 <code php>
@@ Строка 241: / Строка 241: @@
 </code>
-As the malicious website will never find the value of the "sectok" hidden input, your form is no longer vulnerable to CSRF.
+Поскольку вредоносный веб-сайт никогда не найдет значение скрытого ввода «sectok», ваша форма больше не уязвима для CSRF.
-**Note:** If the security token is not valid, the ''checkSecurityToken()'' function displays a message which informs the user.
+**Примечание**: Если токен безопасности недействителен, ''checkSecurityToken()'' функция отображает сообщение, информирующее пользователя.
-===== Remote Code Inclusion =====
+===== Удаленное включение кода =====
-This attack allows an attacker to inject (PHP) code into your application. This may occur on including files, or using unsafe operations functions like [[phpfn>eval()]] or [[phpfn>system()]].
+Эта атака позволяет злоумышленнику внедрить код (PHP) в ваше приложение. Это может произойти при включении файлов или использовании небезопасных функций операций, таких как [[phpfn>eval()]] или [[phpfn>system()]].
-**Always filter any input** that will be used to load files or that is passed as an argument to external commands.
+**Всегда фильтруйте любые входные данные**, которые будут использоваться для загрузки файлов или которые передаются в качестве аргумента внешним командам.
-===== Information leaks =====
+===== Утечка информации =====
-This attack may lead to the exposure of files that should usually be protected by DokuWiki's ACL or it might expose files on the server (like ''/etc/passwd'').
+Эта атака может привести к раскрытию файлов, которые обычно должны быть защищены ACL DokuWiki , или может раскрыть файлы на сервере (например, ''/etc/passwd'').
-**Always filter any input** that will be used to load files or that is passed as an argument to external commands.
+**Всегда фильтруйте любые входные данные,** которые будут использоваться для загрузки файлов или которые передаются в качестве аргумента внешним командам.
-**Always use DokuWiki's ACL check functions when accessing page data**.
+**Всегда используйте функции проверки ACL DokuWiki при доступе к данным страницы.**
-===== SQL injection =====
+===== SQL-инъекция =====
-This attack is rarely relevant in DokuWiki because no database is used. However if your plugin accesses a database always escape all values before using them in SQL statements.
+Эта атака редко актуальна в DokuWiki, поскольку база данных не используется. Однако, если ваш плагин обращается к базе данных, всегда экранируйте все значения перед их использованием в операторах SQL.
-More info:
+Дополнительная информация:
-  * [[wp>SQL injection]]
+  * [[wp>SQL injection|SQL-инъекция]]
-===== Reporting Security Issues =====
+===== Сообщение о проблемах безопасности =====
-If you encounter an issue with a plugin please inform the author of the plugin via email, optionally putting [[andi@splitbrain.org|Andi]] or the [[:mailinglist]] on CC.
+Если у вас возникли проблемы с плагином, сообщите об этом автору плагина по электронной почте, при желании указав [[andi@splitbrain.org|Andi]] or the [[wiki:mailinglist|список рассылки]] on CC.
-Additionally a ''securityissue'' field with a short description of the problem should be added to the [[plugin:repository|data]] on the page of the plugin. This will create a red warning box and will delist the plugin from the main plugin list.
+Дополнительно к [[wiki:lugin:repository|данным]] на странице плагина ''securityissue'' следует добавить поле с кратким описанием проблемы . Это создаст красное предупреждающее поле и исключит плагин из основного списка плагинов.
-Once the issue was fixed and a new release was made, this field should be removed again.
+После устранения проблемы и выпуска новой версии это поле следует снова удалить.