Исходное сообщение
"Удалённо эксплуатируемая уязвимость в SQLite, затрагивающая ..." Отправлено Аноним, 16-Дек-18 15:17
> И в чём же принципиальная разница? В количестве вариантов действий у атакующего и возможности все это предсмотреть. Ну и как бы в случае libpng - мы как бы с самого начала не гарантируем что картинки происходят из дружелюбных источников. Ниоткуда это не следуте. А вот сиквель как таковой изначально сделан под совсем другие допущения, прямой доступ атакующего к фигачингу запросов в типовом движке - это как минимум "bobby tables" в датацентре. А в большинстве сиквелей еще и выполнение кода с правами сервера, потому что запросы разные бывают и фич наворотили огого. В том числе порой и откровенное выполнение внешних команд, например. Которое как бы в теории можно отключить или там контейнерами застопорить - но у 90% растяп оно просто становится i++'м ботом в ботнете. И вообще-то гугель мог бы и научиться на чужих ошибках пожалуй. Вывешивать сиквельное апи для выполнения в нем произвольного ремотного кода - идея весьма стремная, мягко говоря.