Сергей Шлоков

Как то так.

Я писал только про коннектор из modExtra, который используется для создания своих компонентов.
А если заменить на $modx->user->getUserToken($modx->context->key)? Главное, проверить сессию с секретным ключом.

Ну и шуточки у тебя. Чуть инфаркта Микарда не получил.

Есть куча точек в хода из различных компонентов, которые оставляют коннекторы в /assets/components/

Евгений, а такая проверка в коннекторе может закрыть эту точку входа?

...
require_once MODX_CONNECTORS_PATH . 'index.php';

$auth = !empty($modx->user) && isset($_REQUEST['HTTP_MODAUTH']) && $_REQUEST['HTTP_MODAUTH'] == $modx->user->getUserToken('mgr');
if (!$auth) {
    // Тут можно любые переадресации делать. Этот код для примера.
    header("Content-Type: application/json; charset=UTF-8");
    header('HTTP/1.1 401 Not Authorized');
    echo $modx->toJSON(array(
        'success' => false,
        'code' => 401,
    ));
    @session_write_close();
    die();
}
...

В 5 минут не уложился, но комментарий, вижу, изменил. Мда, печально всё с MODX.

Принимается. Уважительная причина. Хотя я ожидал что-то типа «Меня бабушка кушать зовёт. Как покушаю, сделаю уроки, посмотрю черепашек-ниндзя так сразу сразу».

Мы все с нетерпением через 5 минут ждём от тебя префикс этого сайта.

Не стоит сравнивать проприетарный софт с опенсорсом. С последним сплошь и рядом такая фигня — автор устал, автору некогда, автор рубит бабло, автор вспотел — множество причин, почему автор навалить сорок куч на на «совершенство своего детища».

А авторы MODX бабло то на чём рубят, на ноде?

Но куда девать любовь к MODX?

Может вернуть Джейсону обратно? Как мне кажется, автор должен быть заинтересован в совершенстве своего детища. А уж вопросы с безопасностью вообще должны решаться в доли секунды. Например, Цукерберг платит за найденные уязвимости. А тут нашли, сказали, наконец, доказали на собственном сайте, и только после этого они решили пошевилиться (речь о Евгении Борисове). Да и сейчас, видишь ли, у них выходные. Охренеть. «Такой хоккей нам не нужен».

Понял. Спасибо! Из этого делаю вывод, что ларавел не имеет таких проблем безопасности. :)

Каждый выбирает сам. Свой путь я выбрал.

Если не секрет, скажи тихонько только мне :)

Спокойно спать можно если не делать сайты на MODX)).

А на чём? Ларавел? Несколько лет назад также говорили про джумлу и WP.

Т.е. если никого не пускать в админку и не делать загрузку файлов на сайте можно спокойно спать?

Мляха-буха, жаль тут нет смайлика с битьем головой об стену. Вставил бы 20. Чего делать-то?

Это проблема не минифая, а MODX.

Но если ты считаешь, что я отмахнулся от проблемы и повёл себя как мудак — твоё право.

Да я вроде тоже не предлагал демонстрировать это на моих проектах, не правда ли?

Как и авторы MODX. Но там ты встал на сторону Евгения, а тут на противоположную. Непоследовательно.
Одно дело у меня на сайте пошалить, а другое дело обратить внимание человека, на котором лежит большая ответственность — у многих из нас сайты размещаются на modhost.pro, который работает на MODX, и это вызывает обоснованное беспокойство.

Могу ошибаться, но по-моему, вот это было изначально в статье.

Кто хочет ощутить это на себе, может в комментах написать ссылку на сайт.

Про доступ в админку тут не слова. Лично мне было интересно проверить, но я не рискнул. Страшновато.

Евгения Борисова, помню, в итоге вообще обматерили.
...

Ну, иначе высокое руководство не считало те дыры — дырами, и отмахивались, мол так и задумано.
Пришлось доказывать на их же сайте.

Кстати, пока Николай не залез к тебе, ты тоже отмахнулся. И ответная реакция у тебя тоже практически матерная.

Дмитрий, а как вы пришли к выводу, что это именно из-за темы dark?