APPSEC-1057 (ส่วนหนึ่งของ SUPEE-6788)

Magento ได้รวมรายการที่อนุญาตของบล็อกหรือคำสั่งอนุญาต หากโมดูลหรือใครก็ตามใช้ตัวแปรเช่น{{config path=”web/unsecure/base_url”}}และ {{block type=rss/order_new}}ในหน้า CMS หรืออีเมลและคำสั่งไม่ได้อยู่ในรายการนี้คุณจะต้องเพิ่มพวกเขาด้วยสคริปต์การติดตั้งฐานข้อมูลของคุณ

ส่วนขยายหรือรหัสที่กำหนดเองที่จัดการเนื้อหา (เช่นส่วนขยายบล็อก) อาจได้รับผลกระทบ หากรหัสของคุณใช้ตัวแปรหรือบล็อกการกำหนดค่าบางอย่างคุณต้องสร้างสคริปต์การอัพเดทข้อมูลที่เพิ่มตัวแปรหรือบล็อกลงในตารางรายการสีขาว:

คุณอนุญาตรายการตัวแปรและบล็อกที่กำหนดเองอย่างปลอดภัยได้อย่างไร

เพื่อความครบถ้วนสมบูรณ์ที่คุณสามารถเพิ่มบล็อกและตัวแปรรายการสีขาวภายใต้ระบบ> สิทธิ์> ตัวแปรและระบบ> สิทธิ์> บล็อก รหัสที่คุณเพิ่มมีอยู่ในรูปแบบweb/unsecure/base_url(พา ธ การกำหนดค่า) หรือrss/order_new(นามแฝงคลาสบล็อก)

คำตอบเดิม

สคริปต์การอัปเกรดของฉันมีลักษณะดังนี้:

/*
 * Make sure the upgrade is not performed on installations without the tables
 * (i.e. unpatched shops).
 */
$adminVersion = Mage::getConfig()->getModuleConfig('Mage_Admin')->version;
if (version_compare($adminVersion, '1.6.1.2', '>=')) {

    $blockNames = array(
        'cms/block',
        'catalog/product_list',
        'germany/impressum',
        'page/html',
        'magesetup/imprint_field',
        'magesetup/imprint_content'
    );
    foreach ($blockNames as $blockName) {
        $whitelistBlock = Mage::getModel('admin/block')->load($blockName, 'block_name');
        $whitelistBlock->setData('block_name', $blockName);
        $whitelistBlock->setData('is_allowed', 1);
        $whitelistBlock->save();
    }

    $variableNames = array(
        'design/email/logo_alt',
        'design/email/logo_width',
        'design/email/logo_height',
    );

    foreach ($variableNames as $variableName) {
        $whitelistVar = Mage::getModel('admin/variable')->load($variableName, 'variable_name');
        $whitelistVar->setData('variable_name', $variableName);
        $whitelistVar->setData('is_allowed', 1);
        $whitelistVar->save();
    }
}

แทนที่$blockNamesและ$variableNamesด้วยตัวคุณเอง เครื่องมือต่อไปนี้ช่วยในการค้นหาตัวแปรและบล็อกที่ใช้แล้ว: https://github.com/peterjaap/magerun-addons

การโหลดตัวแปร / บล็อกก่อนอื่นต้องแน่ใจว่าคุณไม่ได้พยายามใส่ข้อมูลที่ซ้ำกัน (ซึ่งจะทำให้สคริปต์เสียหาย) สิ่งนี้เกิดขึ้นกับฉันเพราะสคริปต์แสดงตัวแปรให้ฉัน "trans_email / ident_general / email" และ "trans_email / ident_support / email" ซึ่งอยู่ในรายการที่ปลอดภัยแล้วในการปล่อยแพทช์สุดท้าย

วิธีใช้สคริปต์อัปเกรด

วางไว้ในโมดูลที่กำหนดเองเป็นสคริปต์อัปเกรดข้อมูล (สคริปต์อัปเกรดข้อมูลจะทำงานหลังจากสคริปต์อัปเกรดปกติเพื่อให้แน่ใจว่ามีตารางอยู่แล้ว) หากคุณยังไม่มีโมดูลที่คุณใช้สำหรับการอัปเดตการกำหนดค่าให้สร้างเช่นนี้:

app / etc / โมดูล / Project_Config.xml

<?xml version="1.0"?>
<config>
    <modules>
        <Project_Config>
            <active>true</active>
            <codePool>local</codePool>
        </Project_Config>
    </modules>
</config>

app / รหัส / ท้องถิ่น / โครงการ / config / etc / config.xml

<?xml version="1.0"?>
<config>
    <modules>
        <Project_Config>
            <version>0.1.0</version>
        </Project_Config>
    </modules>
    <global>
        <resources>
            <project_config>
                <setup>
                    <module>Project_Config</module>
                    <class>Mage_Core_Model_Resource_Setup</class>
                </setup>
            </project_config>
        </resources>
    </global>
</config>

app / รหัส / ท้องถิ่น / โครงการ / config / ข้อมูล / project_config / ข้อมูลการติดตั้ง 0.1.0.php

(ดังกล่าวข้างต้น)

คุณสามารถเพิ่มได้ด้วยตนเองในแบ็กเอนด์ Magento ภายใต้ระบบ> สิทธิ์> ตัวแปรและระบบ> สิทธิ์> บล็อกเมื่อติดตั้ง Magento 1.9.2.2 แล้ว

ปลั๊กอินที่ใช้ตัวแปรที่กำหนดเองของบล็อกจะต้องเพิ่มสคริปต์อัปเกรดข้อมูลด้วยรหัสที่คล้ายกันดังที่แสดงด้านล่าง

if (Mage::getModel('admin/block')) {

    $installer = $this;
    $installer->startSetup();
    $connection = $installer->getConnection();

    $installer->getConnection()->insertMultiple(
        $installer->getTable('admin/permission_block'),
        array(
            array('block_name' => 'flexslider/view', 'is_allowed' => 1),
        )
    );

    $installer->endSetup();

}

คุณจะพบว่ามีตารางใหม่หลังจากSUPEE-6788ติดตั้งชุดข้อมูลแก้ไขแล้ว

permission_variable

permission_block

และคุณสามารถเพิ่มตัวแปรหรือบล็อกการกำหนดค่าบางอย่างลงในตารางรายการที่อนุญาต