Дырка в одном глазу (CMS`ы)

MazaXakep, my_esc() выполняет свою функцию c ним всё в порядке и работает так как и должен .
нет дыра не конкретно в теме форума .
Что по твоему там по мимо my_esc() ещё должно быть?))
my_esc() отвечает на входящие данные . как и сказал выше . он справляется со своей задачей .
если ты думаешь что дырка в нём ,то тебе стоит понять его ,понять что он делает . заглянув в функцию и прогулив её точно применение.

Saint, а ни хочеш мой гкод поковырять?

my_esc это mysql_real_escape_string защищает от sql иньекций
там такой код
$name=my_esc($name);

$msg=my_esc($msg);

а должно бить
$name=my_esc(htmlspecialchars($name));

$msg=my_esc(htmlspecialchars($msg));

Бишаная каза, на свой код нету времени ))
пиши в аську . может чёт придумаем .ты про тот ajax движок что пол года назад показывал?

не должен быть . использование htmlspecialchars при входящих данных это быдлокодерство чистой воды . почитай любую документацию о php . где будет сказано что по дефолту людям совеют mysql*_real_escape_string на входящие данные и htmlspec... и ему подобные на исходящие данные . данные нужно записывать в чистом виде . в том в котором они были введены . но не всегда . в некоторых случаях применяется подобный фильтр . от чего кстати вечные жалобы всяких переносов текстов или проблем со всякими кавычками .про документацию . если ты считаешь что твой совет лучше чем совет от тех кто занимается разработкой php ,то подумай сам .
Так что с my_esc всё в порядке . хотя в dcms небольшую регулярку я бы добавил.

в публичных движках типа обсуждаемого dcms . my_esc() выполняет свою функцию верно . с output_text() спорно . но в большинстве случаев тоже всё верно . организация этого дела хромает . но со своими задачами справляется . процентов 90% людей кто юзает dcms годами . даже не знаю о output_text() о его возможностях . о том что аргументы в функции не просто так там присутствуют . и даже спустя столько времени не понимают зачем они там и юзают htmlspecialchars . тут они только от части правы .

Так и хочется снять с языка, "невзъебЁнный хакЫрь", вижу много свободного времени есть, продемонстрируй чего-нибудь по-серьёзнее, это видели, проходили, углубляйся.

Кот™, процитируй пожалуйста пост ,где я тебя подвёл к такому мнению .
Нет демонстрировать я нечего не буду . Да и новичок я в этой области ,по меркам всего интернета . посему смысла это не имеет . если бы ты обладал немного большим багажом знаний, ты бы понимал ,что подобные xss это шалость . и человек который оценивает это за признаки школоты ,вероятнее всего просто имеет такой круг общения, или сам им является .не спорю ,что бывают интересные и сложные виды атаки . которые в целях познаний интересно протестировать на своих проектах и не только . они исключение .
Добавлю что выше описывалось что тема не об этом . подобные сообщения и такая недальновидность , лечится саморазвитием . Дальновидность это очень хорошие качество ,которое очень поможет в жизни . стоит углубиться.
------
Что в твоём понимание серьезное ? inj , csrf , брут, ssi , Mailbombing (если кто о ней помнит) doss или dos ?

Я же говорил что джон гавно

если сравнить с остальными , джон вполне нормальный .

Creat1ve, ++