Eu queria fazer essa pergunta há muito tempo, mas vamos lá.
Veja esta resposta de 14/01/2016, que claramente faz o que não é recomendado, por motivos de segurança, isso é inclusive mencionado no manual. Porém ninguém comentou ou mencionou este problema, nem mesmo fui negativado nessa resposta. Posteriormente, recentemente, editei ela para que corrigir o problema.
Mas isso ocorre várias e várias vezes em várias situações, como por exemplo aqui, aqui, aqui, aqui, tudo isso é vulnerável pelo mesmo motivo, alguns eu comentei e disse aqui.
Estou fazendo essa publicação aqui após ver esta resposta em especifica, que por mim é totalmente quebrada, uma vez que o $codigo
é justamente um base64_encode
ou seja permite que sabendo o e-mail eu mesmo redefino a senha dele, mesmo que não tenha acesso ao respectivo e-mail. Afinal qualquer um pode fazer base64_encode($meu_email)
. Por mim esta resposta falha miseravelmente em seu objetivo.
Alguns dias atrás eu vi essa resposta, que me deixou um pouco grilado. O motivo é que o autor da pergunta utilizou /^[0-9]{9,11,13}$
, note os ^ e $
enquanto a resposta aceita não, resolvi investigar um pouco isso. Cheguei a encontrar uma lista de vulnerabilidades/erros que podem ser cometidos no REGEX e juro que nunca tinha me dado conta dessas situações, nunca nem tinha ouvido falar de ReDoS por exemplo. A resposta (inclusive aceita pelo OP) faz com que 00000-0000;<script>alert()</script>
seja um telefone válido. Isso seria um problema de segurança?!
Existem outros casos, que já vi por aí no site, que acredito que seja mais obscuro e que realmente podem ser ignorados em casos gerais ou dependem muito da aplicação, do contexto. Alguns casos acho que é aceitável como por exemplo comparar CSRF-Token usando ===
(ao invés de hash_equals()
que seria o ideal). Alguns casos acredito que seja pouco conhecido e mais especifico como usar CURLOPT_FOLLOWLOCATION
e não especificar o CURLOPT_PROTOCOLS
quando se utilizar cURL, até corrigi algumas respostas minhas algum tempo atrás, ou usar OPENSSL_PKCS1_PADDING
como padding (ao invés de usar OPENSSL_PKCS1_OAEP_PADDING
), acredito difícil alguém notar estes problemas numa resposta por serem especificas.
Mas claro, isso é só um exemplo e obviamente estou longe de saber de todos os problemas que podem existir, tanto que até alguns dias atrás fazia REGEX totalmente errados.
A questão é justamente essa. Deve haver várias e várias respostas que deve estar cheias de problemas, mas ninguém parece ligar para isso e o autor das respostas/perguntas continuam sem saber que aquilo é um erro (ou que possui um problema iminente de segurança). E pior, as vezes tem votos positivos e é aceita como melhor resposta.
Acho estranho, uma melhor resposta, como essa minha, mencionada, é justamente a resposta que é insegura (a outra não tinha nenhum problema).
Queria saber de vocês, em geral do StackOverflow: O que fazer?
Ignorar e presumir que quem for utilizar aquele código já sabe de todo o seu comportamento e que não há problema algum nisso? Editar as perguntas para que corrija o problema quando possível? Negativar a respostas? Comentar o problema?
Eu "frequentemente" vejo alguns usuários comentando nas perguntas (ou até nas respostas) que o código "está vulnerável a MySQL Injection" por exemplo, acho que isso algo positivo. Acredito que com este "alerta" serve para pessoa reconhecer o problema e talvez corrigir. Mas, não vejo isso sendo feito em outros casos.
Ultimamente tento comentar quando vejo algum problema da resposta/pergunta ou as vezes respondo de alguma outra forma e menciono porque ela seria melhor. Mas não sei se isso é algo bom de ser feito e se é bem recebido, porque acredito que ninguém liga.
pattern
dohtml5
e ele não válida a injeção, pode dizer algo a respeito?