Безопасность JohnCMS

спасибо, скоро я стану хакером

Что-то нашел, смотрите:
Получаем права админа
через инъекцию с
применением UPDATE `user`
SET `level`=’4′,`group_
access`=’15′ WHERE
`id`=’3008′. В конце наш ид.
Это возможно?

tronixit_uz, тебе нужна дырка в кабинете пользователя например, и там где пользователь меняет какую нибудь информацию, то есть там пост форма, и например не фильтрованная переменная заносится в базу, забыли провести через mysql_real_escape_string или еще какой фильтр, там запрос на update юзера, то есть запрос примерно такой
update user set mail = 'aaa@mail.ru' where id = 1
в место мыла мы шлем запрос свой, с кавычкой, и запрос принимает наши аргументы aa@mail.ru' , rights = '9
то есть запрос на обновление будет уже такой
update users set mail = 'aa@mail.ru' , rights = '9' where id = 1
думаю смысл понятен

magic_quotes_gpc вообще считается как бы тут проблему решает. Но по умолчанию на хостингах они отключены. Волшебные кавычки. И в .htaccess джона тоже идет отключение их. Хотя по любому надо фильтровать ввод данных в базу. А от XSS их вывод. Короче ставьте чистый джон и радуйтесь Потому что практически во всех дополнительных модулях какая нибудь зараза из этого сто пудов есть

Пишите модули на основе офф. модулей, которые входят в Джон, c их проверками.