Василий Наумкин

Василий Наумкин

Был в сети 10 июня 2026, 17:44
Заказы не принимаю
Лично я закрываю служебные директории через веб-сервер на случай обнаружения новой уязвимости в MODX.

Например, как это было, когда движок некорректно обрабатывал запросы в несуществующий контекст в коннекторах. Там еще одна PHP авторизация не помогла бы, так как хакер получал доступ к API через обычные GET запросы к определённому файлу.

Именно поэтому я закрываю для доступа снаружи и админку, и коннекторы, и ядро. Причём, не через потенциально уязвимый движок, а средствами гораздо менее потенциально уязвимого Nginx.
location ~* ^/(core|manager|connectors)/ {
    auth_basic "Restricted Access";
    auth_basic_user_file /home/site/.htpasswd;
    try_files               $uri $uri/ @rewrite;
    location ~ \.php$ {
            include         fastcgi_params;
            fastcgi_param   SCRIPT_FILENAME $document_root$fastcgi_script_name;
            fastcgi_pass    backend-site;
    }
}

А зачем нужна вот эта инструкция — большой вопрос.
Прошу прощения, видимо мой сарказм непонятен.

Вот
серьёзный ответ:
Какой смысл указывать то, что не нужно? Если в getResources этот модификатор нужен — пусть там и указывают.

А сначала, не задумываясь, тащить в чанки pdoResources то, что указывается в getResources, а потом добавлять в документацию примечание «это не нужно» — ну бред какой-то.

Давайте просто включать голову при использовании модификаторов, и проверять, к каким значениям они применяются.
Думаю, на этом вопрос можно закрыть.