Download Pfad ist nicht erlaubt!

flammer

Moin,
ich verwende das Plugin Filedownload von https://filedownload.blog-me.de/category/shortcode/

Weil ich keine große Files hoch laden darf habe ich das File via FTP auf meinen Webspace geladen.
Eingebunden hab ich es so:
[filedownload file="https://www.modellbau-yodi.de/schlosser_install.exe" type="application/xml" style="color:#0000EE;" check="no" ]Schlosser für Windows Version 0.0.1[/filedownload]

Aber ich bekomme einen Fehler von WP

[COLOR=#ff0000]Dieser Download Pfad 'https://www.modellbau-yodi.de/mywp/wp-conten…ser_install.exe' ist nicht erlaubt![/COLOR]
[COLOR=#ff0000][/COLOR]
[COLOR=#000000]Wir kann ich das jetzt umgehen ?

Flotte grüße Dirk
[/COLOR]

Werbepost

Hallo!

Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
✔️ Deutsche Server & DSGVO-konform
✔️ Persönlicher Support (kein 0815-Ticket-System)

Mehr erfahren

SirEctor

Hast du es mal mit einem relativen Pfad versucht?
Ansonsten mal den Plugin-Entwickler anschreiben.

flammer

Ja hab ich aber nix is

Marcus[IS]

Ist das nur ein Tippfehler von dir, oder wird das durch das Plugin verursacht, dass zweimal eine Webadresse in der Fehlermeldung auftaucht?
Hast du das mal versucht indem du nur die .exe Datei im Shortcode einträgst, oder das ganze über einen Extra Ordner laufen lässt? Zum Beispiel ordnername/dateiname.exe ?

Das Plugin wird allerdings auch nicht mehr weiter entwickelt und wurde bei WordPress.org im Reporsitory als Geschlossen angezeigt. Bei der Seite des Authors meckert der Browser das Zertifikat an, da es für eine andere Domain ausgestellt wurde.

Ich persönlich würde nicht auf solche Quellen bauen, da es mit Sicherheit keinen Support mehr dafür gibt, oder man sich schlimmstenfalls sogar Sicherheitslücken in seine WP Installation holen könnte.

Zitat

Weil ich keine große Files hoch laden darf ...

Welche Upload Größe erlaubt dein Provider denn?
Standard ist eigentlich 8MB aufwärts.

Nobissoft

Also bei mir läuft der download einwandfrei

maxe

setze mal testweise

PHP

define (‘ALLOW_UNFILTERED_UPLOADS’, true);

in deine wp-config.php. Ich kenne das Plugin nicht, vielleicht arbeitet es aber mit den WP Beschränkungen.

Die Berechtigung zu setzen um EXE Dateien hoch laden zu können, finde ich eh sehr bedenklich, von daher bitte die Regel danach wieder löschen.

Andere Frage: Warum machst du da kein Zip draus? Den Upload könntest du mit WP dann auch freigeben:

PHP

function neue_upload_mimes( $neue_mimes ){
  $neue_mimes['zip']  = 'application/zip';
  return $neue_mimes;
}
add_filter('upload_mimes', 'neue_upload_mimes');

Edit: Der Download auf https://www.modellbau-yodi.de/mywp/schlosser/ funktioniert allerdings.

flammer

Moin

So sieht ein Teil des Scripts aus

PHP

<?php
/*
Helper File for Plugin: Filedownload
Plugin URI: http://www.worldweb-innovation.de/
Description: Download call
Author: Peter Gross
Author URI: http://www.worldweb-innovation.de/


    This program is free software: you can redistribute it and/or modify
    it under the terms of the GNU General Public License as published by
    the Free Software Foundation, either version 3 of the License, or
    (at your option) any later version.


    This program is distributed in the hope that it will be useful,
    but WITHOUT ANY WARRANTY; without even the implied warranty of
    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
    GNU General Public License for more details.


    You should have received a copy of the GNU General Public License
    along with this program.  If not, see <http://www.gnu.org/licenses/>.


*/
require_once('../../../wp-load.php');
require_once('counter.php');


$type = $_GET[type];
$path = $_GET[path];
$check = $_GET[check];


$forbidden = false;
$path_parts = pathinfo($path);
// V0.2 Security: not longer allowed relative pathes
if (strpos($path, 'http://') === false) $forbidden = true;
if (!(strpos($path, '..') === false)) $forbidden = true;
if (!(strpos($path, '.php') === false)) $forbidden = true;


if ($forbidden)
{
  printf(__("This download path '%s' is not allowed!",'filedownload'),$path);
#  exit();
}

Alles anzeigen

Ich habe die Zeile exit(); mal auskommentiert zum testen dann geht es
Ist natürlich nicht im Sinne des Erfinders is mir schon klar.

mfg Dirk

Edit maxe: Direkt Zitat entfernt

b3317133

Würde nach kurzer Code-Analyse dieses Plugin keinesfalls nutzen.

Du kannst auch einfache Links direkt im Editor eingeben, ganz ohne Plugin. Text schreiben, Wort markieren, das "Kette"-Symbol in der Symbolleiste klicken, Link eingeben, fertig.

flammer

Zitat von b3317133

Würde nach kurzer Code-Analyse dieses Plugin keinesfalls nutzen.

was gefällt dir am Code nicht ?

b3317133

Neben den bereits genannten Punkten von @Marcus[IS] fällt direkt der unsaubere Code auf, es fehlen z.B. überall Anführungszeichen beim Ansprechen von $_GET und $_POST, weiterhin erfolgt keine saubere Sanitization von SQL Parametern, dadurch sowas wie Possible Blind SQL Injection and Persistent XSS möglich usw.

Kurzversion: Finger weg, deinstallieren.

Willkommen! Melden Sie sich an oder registrieren Sie sich.

Download Pfad ist nicht erlaubt!

Jetzt mitmachen!