From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <mithraen@altlinux.ru>
Date: Wed, 25 Oct 2006 07:47:45 +0400
From: =?koi8-r?B?5MXOydMg883J0s7P1w==?= <mithraen@altlinux.ru>
To: smoke-room@lists.altlinux.org
Message-ID: <20061025034745.GE31147@localhost.localdomain>
References: <20061022004752.0508b7a4@dhcppc0>
	<200610241908.05265.icesik@mail.ru>
	<20061024164737.GA9402@localhost.localdomain>
	<200610242051.55461.icesik@mail.ru>
	<20061024192017.GV28465@osdn.org.ua>
Mime-Version: 1.0
Content-Type: text/plain; charset=koi8-r
Content-Disposition: inline
Content-Transfer-Encoding: 8bit
In-Reply-To: <20061024192017.GV28465@osdn.org.ua>
Subject: Re: [room] wackowiki vs mediawiki
X-BeenThere: smoke-room@lists.altlinux.org
X-Mailman-Version: 2.1.9rc1
Precedence: list
Reply-To: =?koi8-r?b?y9XM2NTV0s7ZyiDPxtTP0MnL?= <smoke-room@lists.altlinux.org>
List-Id: =?koi8-r?b?y9XM2NTV0s7ZyiDPxtTP0MnL?= <smoke-room.lists.altlinux.org>
List-Unsubscribe: <https://lists.altlinux.org/mailman/listinfo/smoke-room>,
	<mailto:smoke-room-request@lists.altlinux.org?subject=unsubscribe>
List-Archive: <http://lists.altlinux.org/pipermail/smoke-room>
List-Post: <mailto:smoke-room@lists.altlinux.org>
List-Help: <mailto:smoke-room-request@lists.altlinux.org?subject=help>
List-Subscribe: <https://lists.altlinux.org/mailman/listinfo/smoke-room>,
	<mailto:smoke-room-request@lists.altlinux.org?subject=subscribe>
X-List-Received-Date: Wed, 25 Oct 2006 03:47:45 -0000
Archived-At: <http://lore.altlinux.org/smoke-room/20061025034745.GE31147@localhost.localdomain/>
List-Archive: <http://lore.altlinux.org/smoke-room/>

On Tue, Oct 24, 2006 at 10:20:17PM +0300, Michael Shigorin wrote:

>> http://secunia.com/product/4843/?task=statistics
>> http://secunia.com/product/2546/?task=statistics
MS> No comments.

Есть comment у меня -- у ваки один cross scripting, у Media есть и PHP
code execution. 

В wacko багофича в том, что аттачи там чужеродный объект. И лежат они все
в одном конкретном отдельном каталоге. И AFAIR кроме меня их вообще
создавать могут 3 человека, в то что кто-либо из них будет пытаться
эксполйтить кроме как для показа мне уязвимости -- не верю. И в то что
перед даже таким эксполйтом меня не предупредят -- тоже не верю.

Чистый HTML код в страницы сейчас могу вставлять только я, и только в
педально-приводном виде. Так что даже та единственная cross-scriptiong
идет лесом.

У ваки _один_ недостаток -- ядро тяжело патчится. Потому что монолитное.
Но и то я в него даже сам лазил и патчил, при том что познания в PHP у
меня чуть выше "первый раз увидел PHP, и буду в эту гадость лезть только
за 100$/секунда".

-- 
С уважением, Денис

http://freesource.info
----------------------------------------------------------------------------
P.S. Не делайте crosspost, я всё ещё читаю devel@
		-- inger in devel@