Tests & Probleme der SVN Revision 1374 - 2.8.2 RC

[HANS 0]

Sind die heute gemeldeten "WebsiteBaker Multiple Vulnerabilities" in Arbeit?
Speziell Punkt 1 (Login-Prozedur) ist seit langem mehrfach "gemeldet" worden.

Um Mißverständnissen bei den Usern vorzubeugen: "Panik ist trotzdem nicht angesagt".

[DarkViper]

login ist in Arbeit.... der Rest ad acta.

[Waldschwein]

Sind die heute gemeldeten "WebsiteBaker Multiple Vulnerabilities" in Arbeit?

Man ist heute spät.  (Sorry, der musste sein...)

Gruß Michael

[HANS 0]

Ist schon klar, wärri olt,
Aber vor 1 1/2 Wochen hatte ich nochmal Login (u.a.- kamma in dem Thread hier nachlesen)  überprüft, mit entsprechendem Ergebnis.
"DarkViper" hat's ja aufgeklärt. Es ist tatsächlich das einzige Teil was noch überarbeitet werden muß.
(Dann quälen wir wieder  )

[DarkViper]

Bitte die Begriffe 'Login' und 'Authentifizierung' auf keinen Fall erwähnen, wenn ich nicht zuvor mit einer halben Klinikpackung Valium ruhiggestellt wurde....   es könnt ein Unglück passieren.....          

Ich werd mir auf jeden Fall den bisherigen Code aufheben und einrahmen....  als abschreckendes Beispiel für das nächste Seminar.

[chio]

Der Meister himself räumt quasi auf!

[Waldschwein]

Hallo!

Ich denke, die gestrigen Änderungen in der SVN sind es wieder wert, einen genaueren Blick auf die SVN zu werfen.
Sie gefällt mir sehr gut bis jetzt, fast alles funktioniert auch, ein größerer Test läuft gerade mit Spezialzeug, daher noch gedulden - werde meinen Test dann hier reinschreiben (dass dabei natürlich Probleme angesprochen werden ist klar, aber es überwiegt auf jeden Fall das Positive).

Gruß Michael

[Luisehahne]

Wird dann auch noch eine Anleitung geben. Michael werde mich diesbezüglich mit dir zusammensetzen

Dietmar

[Waldschwein]

Hallo Dietmar!

Ja - gerne.

Testomat ein hat dies ausgespuckt. Ich habe nicht auf Sicherheit usw. getestet. Sicher ist einiges einfach noch nicht fertig, manches ist Geschmackssache, aber ich will es einmal reinstellen.

------------------------------------


So, ein etwas ausführlicherer Test der neuesten SVN (Rev. 1450).

Gut finde ich das Framelose Mediencenter – es funktioniert auch so, wie es soll (bis auf ein paar Kleinigkeiten, siehe unten).
Wie / ob man es auch extern (z.B. als Filebrowser für WYSIWYG Editoren) nutzen kann weiß ich nicht, aber evtl. gibt es hierfür ja schon eine Basis. Sinnvoll wäre es auf jeden Fall.
Auf Designfehler im Backend (falsche Farben, unterschiedliche Buttons, usw.) gehe ich nicht ein, dazu hat man später Zeit.

Testinstallation 1: Upgrade von SVN 1441 auf XAMPP (PHP 5.3.1, Win7)

-   Löschen aller alten (FTP)-Dateien, praktisch alles neu
-   Ausführen von upgrade-script, es läuft alles grün durch
-   News-Modul wird nicht upgradet. Eine bestehende Seite wird im Frontend nur mit  Fehlermeldung: „The module is not installed properly!“ angezeigt, allerdings kein WSOD, sondern mit Template. Abhilfe schafft nur, upgrade.php von News-Modul manuell zu starten. Vorschlag: Die upgrade.php über das Upgrade-Script anleiern, ob jetzt automatisch oder mit einem Hinweis „Klicke hier, um Newsmodul upzugraden“. Eine allumfassende Lösung muss nicht sein, hier kann man „hardcoden“ speziell für das Newsmodul.

Testinstallation 2: Upgrade von 2.8.1 auf „echtem“ Server (PHP 5.2.9 – nicht (!) CGI, MySQL 5.0.45, All-Inkl)
-   Mediencenter nicht erreichbar, da „Unable to write to the target directory“. Trotzdem kein Fehler – lieber eine Fehlermeldung, als dass „einfach so“ nichts funktioniert. Lösung: Man muss wieder /media zurück auf PHP-User stellen – da PHP nicht CGI ist wird hier ja unterschieden! Nur für zukünftige Support-Anfragen oder evtl. gleich die FAQ.
-   Fixed in Rev. 1451
-   Kein /pages Ordner – News funktioniert nicht.

„Warning: require(../../index.php) [function.require]: failed to open stream: No such file or directory in /www/htdocs/*/wborg2/posts/security-vulnerability-backup-module-in-wb-core-13.php on line 10
Fatal error: require() [function.require]: Failed opening required '../../index.php' (include_path='.:/usr/share/php:..') in /www/htdocs/*/wborg2/posts/security-vulnerability-backup-module-in-wb-core-13.php on line 10”

Durch den Fatal error wird ein WSOD erzeugt.
Liegt ganz bestimmt dran, dass eben /posts sich nicht inenrhalb von /pages befindet.
- "Addons -> Advanced -> Admin settings -> Module reload" führt zu vielen richtigen Meldungen, die Coremodule aber werden rot dargestellt:

"droplets ( 1.0.1 :: 1.0.3 ) The module is not installed properly!
fckeditor ( 2.9.4 :: 2.9.5 ) The module is not installed properly!
output_filter ( 0.11 :: 0.12 ) The module is not installed properly!
show_menu2 ( 4.9 :: 4.9.3 ) The module is not installed properly!
wysiwyg ( 2.7 :: 2.8 ) The module is not installed properly! "

Allgemein:
Media:
-   Hochladen von irgendetwas irgendwo im Mediencenter führt zu zwei gleichen Fehlermeldungen:

„Notice: Undefined index: _media in C:\xampp\htdocs\web\wb282\admin\media\index.php on line 741“

-   Im IE6 funktioniert nichts im Mediencenter, außer Hochladen und Navigieren. Alles andere erzeugt entweder einen Reload oder „{MEDIA_BROWSE}“ als einziges Element im Medienbereich.
-   Von allen Bildern wird jedes Mal das Mouseover-Thumbnail komplett erstellt – hat man mehrere Bilder, kann es sehr lange dauern, bis man zum Beispiel in einen Unterordner navigieren kann. Evtl. gibt es ja eine Lösung.
-   Löschen von Mediendateien / -ordnern muss nicht mehr bestätigt werden (Sind sie sicher…). Sollte wieder Einzug halten

Modify Settings in Media:
-   Es werden nur Unterordner einer Ebene angezeigt des links ausgewählten Ordners. Der Startordner (/media) kann somit nicht angesteuert werden.  Befinde ich mich in (/media), kann ich Ordner (/Bilder) und (/new Folder) auswählen, aber nicht (/media) oder (/Bilder/Urlaub2009)
-   Die Speichern / Abbrechen / Reset Buttons sind zu weit unten. Auf Monitoren unter 1000px Höhe sieht man diese Buttons nicht. Problem kann gelöst werden, wenn die hardgecodete height: 420px von „div.settings_list“ entfernt wird – man hat ja eine max-height .
-   Width / Height wird „irgendwie“ angezeigt. Hier sollte man entweder einen Zeilenumbruch oder Tabellen nehmen.

Settings:
-   In Chrome gibt es den „Tabs on / off“ weiterhin, in Firefox 3.6 nicht. Funktion gibt es allerdings keine – weder in Chrome noch (sichtbar gemacht) in Firefox.

Access – Groups:
-   Gruppen können nach wie vor nicht erstellt werden - „Group name is blank“.

Droplets:
-   „Add droplet“ ist nur mit aktiviertem JavaScript möglich. Da gerade jede Änderung darauf aus ist, dass grundlegend alles ohne JavaScript beruht, sollte man „onclick“ durch etwas anderes ersetzen. Auch „Help / Readme“ und „Backup Dropletes (Zip)“

Vorschlag:
-   Es gibt in Modulen, die Backend / Frontend-CSS bearbeiten machen die Option „Toggle Editor“, dass man also Editarea ausschalten kann. Sinnvoll wäre es, dies Systemweit zu machen.
Einmal irgendwo den Haken raus aus „Toggle Editor“ -> Cookie wird gespeichert -> editarea.js (größte Datei, die immer geladen wird!) wird im Backend generell gar nicht mehr geladen.
Einmal irgendwo den Haken wieder rein in „Toggle Editor“ -> Cookie wird gelöscht -> editarea.js wird wieder (besser: da wo es benötigt wird) geladen.

Update: Coremodule werden nicht reloaded (s.o.).

[Luisehahne]

Hi,

erstmal vielen Dank für den schnellen Vorabtest.

Upgrade der Module wird nicht mehr im upgarde-script.php vorgenommen. Ein entsprechender Hinweis wird aber angezeigt.
Beginn der Trennung von Core und Module. Das manuelle Upgrade für die News, sollte einen fehlenden posts Ordner inklusive Access Files anlegen. In der Entwicklung und in Teilbereichen bereits lauffähig ist ein Simple Maintaince Modul. Dieses legt alle Access Files und Subs  inkl der posts selbständig an, was für einen Domainumzug ideal ist. Die Überlegungen gehen dahin, dieses in den Core zu übernhmen, und in einen Wartungsmodus zu schalten.

Sicherlich ist auch noch das Design zu verbessern. Die Richtung war aber den Code zu überarbeiten. Für das Design mögen sich mal die Profies ranmachen.

Wie gesagt wir werden uns zusammensetzen, da auch die relaoded Module Funktion unter Erweiterungen eine andere Logik bekommen hat.

Ich muss deine Testergebnisse jetzt erstmal in Ruhe durchgehen.

Dietmar

[Waldschwein]

Hallo,

gerne. Dass es eine Trennung von Core und Module gibt ist klar, allerdings führt das manuelle Durchgehen beim Newsmodul eben nur dazu, dass überhaupt News im Frontend angezeigt wird (sonst: „The module is not installed properly!").
Beim Detail auf einen Beitrag kommt dann der WSOD.
Allerdings muss natürlich irgendein Automatismus hier Einzug halten - die wenigsten Leute werden bisher überhaupt entdeckt haben, dass es "Execute module files manually" gibt und wenn ja, warum. Weil es ja noch "Update database with information from Add-on files (e.g. after FTP upload)." Der "Normal-WB-Benutzer" versteht das eben nicht (selbst nachvollzogen). Wie gesagt: Anleitungen gibt's von mir keine, die Leute müssen selber rausfinden was geht, weil das war ja gerade das Potential von WB, dass alles selbst erklärend ist.

Für die Logik der Modulfunktion müssen wir uns nicht zusammensetzen - wie gesagt, das muss man verstehen ohne Erklärung. Wenn nicht, ist es schlecht - egal wie gut programmiert / gecodet es ist. Was es macht, kann ich ja am Code nachvollziehen.

Gruß Michael

[Luisehahne]

Wie gesagt: Anleitungen gibt's von mir keine, die Leute müssen selber rausfinden was geht, weil das war ja gerade das Potential von WB, dass alles selbst erklärend ist.

Nicht ganz, wir sind zwar bemüht die Angezeigten Meldungen so aufzubauen, dass sie selbsterklärend sind, aber um eine Anleitung oder Erklärung auf den Hilfeseiten ist trotzdem erforderlich.

(sonst: „The module is not installed properly!").

Diese Meldung erscheint aber mit davor gesetzten Versionsnummern, und sagt nichts anderes aus, als das die im Module Ordner befindliche Version nicht dem Eintrag in der Datenbanktabelle entspricht. Früher wurde mit Reload einfach der Eintrag aktualisiert und du konntest nicht mehr vernünftig upgraden. Dies wird jetzt unterbunden.

Dietmar

[Waldschwein]

Nicht ganz, wir sind zwar bemüht die Angezeigten Meldungen so aufzubauen, dass sie selbsterklärend sind, aber um eine Anleitung oder Erklärung auf den Hilfeseiten ist trotzdem erforderlich.

Ja, natürlich muss die Hilfeseite verbessert werden und natürlich auch aktualisiert, aber trotzdem muss eben der normale Admin "geführt" werden.

(sonst: „The module is not installed properly!").
---
Diese Meldung erscheint aber mit davor gesetzten Versionsnummern, und sagt nichts anderes aus, als das die im Module Ordner befindliche Version nicht dem Eintrag in der Datenbanktabelle entspricht. Früher wurde mit Reload einfach der Eintrag aktualisiert und du konntest nicht mehr vernünftig upgraden. Dies wird jetzt unterbunden.

Diese Meldung erscheint im Frontend (!), wenn nicht upgegradet wurde über die upgrade.php des Moduls. Ich finde es eben umständlich, wenn die Leute von 2.8.1 auf 2.8.2 upgraden und dann erst einmal ins Forum kommen und sich beschweren, dass die Newsseiten nicht mehr funktionieren. Hier sollte eben irgendetwas im upgrade-script.php groß und sichtbar angezeigt werden, das einen direkt zu den erforderlichen upgrade-Dateien der betroffenen Module leitet.
Nicht "Core-Module" werden generell als "properly installed" gekennzeichnet, eben nur nicht die mitgelieferten Core-Module.

Gruß Michael

Edit: Das "geführt werden" sind die Leute ja gerade gewohnt von den "schweren" CMS oder auch irgendwelchen Klicki-Bunti-Programmen, die das mittlerweile alle machen. Entweder die Leute kommen auf WB, weil ihnen (oder ihren Kunden) CMS XY zu schwer ist, oder weil sie mehr als mit Magix "Make a Website in 5 Minutes" machen möchten. Schwer ist es natürlich zu realisieren, bei Bedarf kann ich ja helfen.

[Luisehahne]

eben nur nicht die mitgelieferten Core-Module.

Nochmal, News ist kein Core Modul. Denke aber das Werner das hier mal in klaren Worten klären sollte.

Ich stelle nur mal fest, du machst ja zwischendurch am Auto auch einen Ölwechsel, oder fährst du solange damit, bis der Motor raucht.

Sicherlich versuchen wir soweit wie möglich abwärtskompatibel zu bleiben. Ist aber nicht immer möglich, vor allen wenn es um die Sicherheit geht, dazu gehört auch das Mediacenter. Lös dich von den alten Sachen. Oder sieht und arbeitet Windows 7 genauso wie Windows Worksgroup, oder Windows 95?

Dietmar

[Waldschwein]

Nochmal, News ist kein Core Modul. Denke aber das Werner das hier mal in klaren Worten klären sollte.

Ich stelle nur mal fest, du machst ja zwischendurch am Auto auch einen Ölwechsel, oder fährst du solange damit, bis der Motor raucht.

Sicherlich versuchen wir soweit wie möglich abwärtskompatibel zu bleiben. Ist aber nicht immer möglich, vor allen wenn es um die Sicherheit geht, dazu gehört auch das Mediacenter. Lös dich von den alten Sachen. Oder sieht und arbeitet Windows 7 genauso wie Windows Worksgroup, oder Windows 95?

Dietmar, wir reden aneinander vorbei.
Du hast recht, ich zweifle es ja gar nicht an. Nur das was mitgeliefert wird an Modulen in WebsiteBaker SVN Paket (um ein anderes Wort für Core Module zu benutzen, weil das immer gleich Missverständnisse aufwirft) funktionieren grundsätzlich nicht, ohne manuell (!) und ohne Hinweis (!) sie upzugraden.

Du weißt, was ich von Abwärtskompatibilit ät halte - mir ist das viel weniger wichtig als euch. Und das habe ich hier mit keinem Wort erwähnt.
Nur noch einmal: Was bringt mir das sicherste, das funktionsreichste, das am tollsten programmierte WebsiteBaker, wenn es nur für eingeweihte ist? Nichts, die haben Typo3, ModX und Konsorten, die brauchen sowas nicht wie WebsiteBaker.

Gruß Michael

[DarkViper]

der Upgrademechanismus steckt noch etwas in 'den Kinderschuhen'. Ich bin noch dabei, die restlichen möglichen Zustände zu erfassen ( was gar nicht so einfach ist, da es quer durch den Core Kreuzverbindungen gibt) und step by step zu integrieren. Letztendlich soll ein Upgrade des Core automatisch alle Module (nicht nur die mitgelieferten) ebenfalls upgraden, falls die Code-Version (version in der info.php) neuer ist als die in der addons - Tabelle registrierte. Das ist auch der Grund, weshalb es die Funktion 'module_reload()' in der bisherigen Form nicht mehr gibt. (einfaches einlesen der info.php würde dem System die Möglichkeit nehmen, zu erkennen, ob Datenbank und installiertes Script zusammenpassen oder ein upgrade notwendig ist).

Die Meldung „The module is not installed properly!" kommt derzeit hauptsächlich, weil die Versionsnummern in den einzelnen info.php's nicht dem Standard entsprechen und daher nicht sauber ausgewertet werden können. Oder aber fehlt einfach noch die richtige Schnittstelle auf Modulseite.

Hilfe zur Syntax der Versionsnummern gibt es hier: PHP-Manual. Das ist also keine willkürliche 'Erfindung' von uns, sondern allgemein üblicher Standard, an den sich auch die Modulautoren zwingend halten sollten, wenn sie wollen, dass ihre Module sauber mit WB zusammenarbeiten.

Nicht im Standardpaket ausgelieferte Module werden beim Auto-Upgrade / Autoinstall noch nicht berücksichtigt, weil einfach die passenden Schnittstellen auf Modulseite noch fehlen. Die Definitionen (Muster) gibts ab dem Wochenende bei mir. Demnächst dann auch in der Doku.

[Luisehahne]

Dietmar, wir reden aneinander vorbei

ja und nein. Schau dir die settings in media früher und heute an. Habe mir das im alten Argos Theme angeschaut, ein Wust von Slashes, zwar alle Folder aber schwer zu lesen. und wenn du abspeichern willst musst du weit nach unten scrollen. Deswegen wurden diese Butonns fixiert. Und ein schneller Wechsel der Ordner ist auch gegeben. Könnte mir für eine zukünftige Version vorstellen, statt einer Dropwonliste links eine Explorer Leiste einzubinden und beim Wechsel der Ordner in der Settings zu verbleiben. Mal schauen was die anderen Anwender dazu sagen.

Das der Rootordner media ist wegen Sicherheitslücken bewusst gesperrt worden. Danke nochmals an Hal9000, der dazu beigetragen hat, das Mediacenter sicherer zu coden.

Dietmar

[HANS 0]

Separate Neuinstallation
Revision 1451
http://127.0.0.1/282/

Optionen>Servereinstellungen<Seitenverzeichnis: /  (also nur ein Slash)
News-Block angelegt, eine Nachricht

Fehlermeldung:
URL http://127.0.0.1/282//posts/20-jahres-rekord-bei-geschaeftsklima-2.php

Code: [Select]

Warning: require(../../index.php) [function.require]: failed to open stream: No such file or directory in Z:\html\282\posts\20-jahres-rekord-bei-geschaeftsklima-2.php on line 10

Warning: require(../../index.php) [function.require]: failed to open stream: No such file or directory in Z:\html\282\posts\20-jahres-rekord-bei-geschaeftsklima-2.php on line 10

Fatal error: require() [function.require]: Failed opening required '../../index.php' (include_path='.;\PHP52\PEAR;\PHP52') in Z:\html\282\posts\20-jahres-rekord-bei-geschaeftsklima-2.php on line 10

[HANS 0]

Guck ich nich, bin ja hier, und bleibe bis RC
Oder machen wir für jede REV. jetzt 'nen neuen Topic auf?
Zumal ich ähnlichen Fehler schon gestern Nacht per PM gemeldet hatte.

[Waldschwein]

Ok. Ich verstehe das jetzt zwar nicht, aber wenn es gesagt wird, wird es schon so sein.

Wenn Rückfragen auftauchen, bitte Bescheid sagen, aber über alles andere zu diskutieren bringt nichts.

Zu Werner: Danke, jetzt verstehe ich es halbwegs. Ein "ist nicht fertig" am Anfang hätte es ja auch getan. 

Gruß Michael

[Waldschwein]

Guck ich nich, bin ja hier, und bleibe bis RC
Oder machen wir für jede REV. jetzt 'nen neuen Topic auf?
Zumal ich ähnlichen Fehler schon gestern Nacht per PM gemeldet hatte.

Das ist nicht bloß eine neue Rev., das ist mehr. Und ich dachte, der Thread wo hier alles durchgeschleift wird, sollte mal von neuem begonnen werden. Wenn nicht, legt man sie halt zusammen.
Ein Glück, dass bald PHP unter 5.2.2 eingestampft wird - 3 Leute wissen es ja schon, dass es in 7 Tagen sein wird. Macht das Testen natürlich besser.

Gruß Michael

[Luisehahne]

Zumal ich ähnlichen Fehler schon gestern Nacht per PM gemeldet hatte.

Problem erkannt, ist in Arbeit

Dietmar

[HANS 0]

Wer regelmäßig SVN getestet hat weiß
1.) daß die Änderungen bzgl. 2.8.2 schon früher als mit r1451 einsetzten
2.) daß unter php2 UND php3 getestet wird
3.) daß hier deshalb "alles" durchgeschleift wurde, weil so auch die bisherigen Änderungen transparent wurden.
3.) daß Du machen kannst was Du willst  

[Waldschwein]

Problemum analysiert & gelöst.

Gruß Michael

[Luisehahne]

und hier mal öfter nachschauen, wird von Werner regelmässig aktualisiert

https://forum.WebsiteBaker.org/index.php/topic,17914.0.html

Dietmar