Software-update: phpBB 2.0.13

Het programma phpBB is een forumpakket met een gebruikersvriendelijke interface en een aantal beheersfuncties. Het pakket wordt ontwikkeld in de taal PHP en biedt ondersteuning aan MySQL-, MS-SQL-, PostgreSQL- en Access/ODBC-databases voor het opslaan van de data. Sinds kort is versie 2.0.13 uitgebracht door de phpBB Group waarin een zeer ernstig beveiligingslek is opgelost. De release notes zien er als volgt uit:

Hi everyone,

phpBB Group announces the release of phpBB 2.0.13. This release addresses two recent security exploits, one of them critical. They were reported a few days after .12 was released and no one is more annoyed than us, having to release a new version in such a short period of time. Fortunately both fixes are easy and in each case just one line needs to be edited.

The first issue is critical and we urge you to fix it on your forums as soon as possible.

The second minor issue, reported to bugtraq several days ago, was the path disclosure bug in viewtopic.php.[break]De volgende drie downloads staan klaar:
phpBB 2.0.13 - Full Package
phpBB 2.0.13 - Changed Files Only
phpBB 2.0.13 - Patch File Only

Versienummer	2.0.13
Website	phpBB
Download	http://www.phpbb.com/downloads.php
Licentietype	GPL

Reacties (22)

[Roland684]

Het programma phpBB is een krachtig, schaalbaar en volledig aanpasbaar forum pakket met een gebruikersvriendelijke interface en doeltreffende beheersfuncties.

* 786562 RolandPHPbb is een makkelijk op te zetten, gratis forum, maar het is in geen geval krachtig, schaalbaar, volledig aanpasbaar, gebruiksbriendelijk en met een doeltreffende beheersfunctie.

'Krachtig'? Erg nietszeggende term in dit verband

'Schaalbaar'? Het aantal onderverdelingen dat je kunt maken is zeer beperkt (minimaal en maximaal 2 niveau's diep). De indeling van gebruikersgroepen is slecht, je kunt gebruikers groeperen, maar geen groepen of topics groeperen. Het samenvoegen van fora in 1 systeem is onmogelijk, het splitsen van fora naar aparte fora is een taak voor iemand die weet hoe databases werken. Als er iets is wat phpBB niet is, dan is het schaalbaar. Zelfs als je het als 1 forum op 1 site gebruikt is het niet schaalbaar: Op kleine sites is het gigantisch overkill en op grote sites wordt het een dagtaak om met gebruikers te schuiven.

'Volledig aanpasbaar'? Hoezo? omdat het open source is en je dus de stukken die je niet bevallen zelf kunt herprogrammeren zeker? Ik wil threaded topics: kan niet. Ik wil standaard e-mailnotificatie van nieuwe topics: kan niet. Ik wil behalve de notificatie van een nieuwe post ook meteen de tekst ervan in de e-mail hebben: kan niet. Ik wil niet weergeven wie moderator is op welke fora: kan niet. Ik wil de irritante "je bericht is geplaatst, klik hier om het te bekijken'-meldingen weg hebben: kan niet. Ik wil op specifieke topics een extra moderator: kan niet. etc. etc. Ik wil die irritante "ik ben ouder dan 13 jaar"-verklaring (bij registratie) er uit hebben: dat kan met een vieze hack wel, maar die wordt bij elke update weer ongedaan gemaakt en moet je weer opniew alle templates aanpassen. Ik wil de private messages weg hebben: kan niet, je kunt kunt ze wel uit zetten, maar dan krijg je daar allemaal "private messages staan uit, vraag de beheerder ze aan te zetten"-messages en dus krijg je gezeur van bezoekers of je ze aan wil zetten. E-mailadressen zouden voor gebruikers in dezelfde groep aichtbaar mogen zijn, maar het is of iedereen (zelfs niet geregistreerde gebruikers) of niemand. Het aantal posts van een gebruiker, wanneer hij geregistreerd heeft en wat zijn woonplaats is, is vaak helemaal niet belangrijk, maar je kunt het niet uitzetten en staat op zeer prominente plaatsen waar het ruimte inneemtdie je eigenlijk voor iets anders wil gebruiken. (1 regelige posts nemen nu veel ruimte in omdat al die onzinnige statistieken vermeld worden).

'Gebruiksvriendelijke interface"? Voor wat hier allemaal aan mankeert is t.net te klein. even een paar dan: phpbbcode is absoluut niet simpel voor een eenvoudige bezoeker, voor op de site van een café of voetbalvereniging is het absoluut niet geschikt omdat het merendeel van de gebruikers de interface veel te ingewikkeld vindt. Er is een behoorlijke leercurve en daardoor is het per definitie niet gebruiksvriendelijk. De top-10 posters wordt verkeerd gesorteerd waardoor het de bottom 10 is, sorteren moet (als het al mogelijk is) dmv een select box ipv direct op de table header te klikken, daylightsavingtime kan niet, dus iedere gebruiker moet 2 keer per jaar zijn tijdzone veranderen, nieuwe berichten zijn niet gemarkeerd in het topic zelf, om direct naar de nieuwe berichten te gaan moet je op een miniscuul en onnatuurlijk pijltje klikken.

En de 'doeltreffende beheersfuncties' zijn nog erger: Als je een topic moved en je laat per ongeluk een link achter naar het nieuwe topic (staat default aan) dan kun je die link nooit meer verwijderen zonder het topic zelf te verwijderen. Het beheren van groepen is een draak. Simpelweg opvragen in welke groepen en persoon zit is onmogelijk. simpel een persoon toevoegen aan meerdere goepen is onmogelijk. Smilies toevoegen is vrijwel onmogelijk. Je kunt geen notificatie krijgen als nieuwe gebruikers zich registreren.

Natuurlijk kun je dit er allemaal wel zelf in programmeren, maar dan kun je geen updates meer gebruiken. Eigenlijk kun je dan beter direct een nieuw forum bouwen..

[mosymuis]

Op veel punten heb je het zeker bij het rechte eind, wat standaard features betreft is het huidige phpBB2 slecht voorzien in vergelijking met de (overigens betaalde) systemen vBulletin en IPB. Wat je wel vergeet, en waar "schaalbaar" in mijn ogen dan ook voor staat, is de enorme mod community. phpBB heeft er voor gekozen een basissysteem te leveren die zijn werk doet zoals het hoort, en die naar eigen wens aan te vullen is met door de community geschreven extensions. Deze worden door phpBB aangemoedigd, gecontroleerd en ondersteund, en zijn voor een gevorderde webmaster zonder veel problemen te installeren. Bij problemen is er nog geen man over boord, er zijn zelfs verschillende Nederlandstalige support communities, waarvan www.phpbb.nl en www.phpbb2.nl de grootste zijn, die je snel weer terug op de rails helpen. Je argument dat men na het installeren van modificaties niet meer zou kunnen updaten is compleet uit de lucht gegrepen: voor elke update released de phpBB groep gelijktijdig manuele update beschrijvingen in modificatie vorm, zodat zelfs het sterkst gemodde forum bij kan blijven. En opnieuw wordt de forum beheerder hierbij aan alle kanten bijgestaan door support groepen.

Verder is je "gebruiksvriendelijke interface"-betoog wat mij betreft ongeloofelijk subjectief, of iets gebruiksvriendelijk is kan je niet binnen een paar regels vaststellen en hangt, inderdaad, volledig af van de doelgroep van het forum. phpBB heeft wat mij betreft op veel punten de gulden middenweg gekozen wat betreft eenvoud en features, en wat jij wilt is waarschijnlijk een volledig pakket van beide. Dat *kan* niet.

Zoals ik al zei heb je hier en daar wel degelijk volkomen gelijk, essentiële features als daylightsavingtime en een uitgebreider groepenbeheer zouden aanwezig moeten zijn, waar de coppa-module bij de registratie beter weg gelaten had kunnen worden aangezien we niet allemaal in de VS wonen. Toch ben ik bij bijna al je functionaliteits kritiek van mening dat dit geen gemis is van phpBB, maar een bewuste keuze. De forumbeheerder is nu in staat om naar eigen inzicht een meer toegesplitst BB op te zetten.

Toch is er goede hoop voor je: phpBB3 belooft weer veel nieuws, zelfs features die -volgens phpBB- nog nooit zijn vertoond in een forumsysteem. Spieken kan alvast hier.

[SilentSimon]

Zo jij neemt er de tijd voor
Zelfs leuk om te lezen.

[TRON]

Dit product blijft met updates komen... Jammer hoor. 't Is een leuk pakket voor de meeste mensen. Zelf gebruik ik Invision Power Board en ga binnenkort misschien overstappen op MyReact

[sPENKMAN]

Hoezo jammer dat ze met updates komen? Beetje kort door de bocht. Ik ben blij dat ze met de updates komen en dat de problemen die er zijn ook opgelost worden.

Ze doen daar hun best om een leuk forum voor de gemiddelde mens te maken, en ik moet zeggen dat ze dat goed lukt.

En net zoals andere software heeft ieder pakket zijn mindere kanten

[TRON]

Ik bedoel er mee te zeggen dat het pakket zo lek als een mandje is. Men moet veel te vaak een update doorvoeren om het pakket veilig te houden. Wat niet ten goede komt van simpele gebruikers die amper kaas hebben gegeten van het installeren van een forum. Laat staan het modificeren van een forum

[Bosmonster]

Komt doordat het zoveel gebruikt wordt en het opensource is.

Een pakket dat minder met updates komt is niet per definitie veiliger natuurlijk...

[Verwijderd]

dan vraag ik me af of jij wel eens een update voor phpbb gedraait hebt?

dat is echt een fluitje van een cent... (in het geval van een standaard/licht gemod board)

gewoon de bestanden uploaden,

dan /install/update_to_latest.php achter de url van je phpbb installatie zetten....

dan de install directory en de contrib directory verwijderen/renamen... klaar

[skabouter]

Reactie op frank2kill

Het is echter wel lastig als je een gemodificeerd thema hebt,

moet je steeds controleren of alles nog wel werkt.

[TRON]

Het is niet per definitie lek omdat het opensource is. Het pakket zit niet zo heel goed in elkaar. Natuurlijk wil ik hier geen afbreuk doen aan het pakket, maar er zitten gewoon teveel beveiligingsfouten in. In bijv. Invision zijn er veel minder gevonden, als ik me niet vergis.

Er werkt een groot team aan phpBB dus mag je verwachten dat de meest gevonden fouten niet gemaakt mogen worden.


@frank2kill: Een update voor mij installeren kost inderdaad niet zoveel moeite, echter voor een totale n00b kan dat een stuk moeilijker zijn.

[mosymuis]

Het is echter wel lastig als je een gemodificeerd thema hebt,

Onzin, aangezien deze update enkel wijzigingen heeft onder de motorkap. Dit is het geval bij bijna alle recente phpBB releases, op phpBB 2.0.11 (Visual Confirmation) en 2.0.12 (footer zonder versienummer + admincp updatecontrole) na.

[ChrisM]

Ik heb liever dat deze mensen dan ook geen forum draaien. Als ze niet even een simpele update kunnen doen..

En ja, het is simpel. Je installeert EasyMOD op je forum (en daar hoef je niks voor te doen!) en dan download je, van het phpBB forum, de EasyMOD update voor 2.0.13... en je draait hem... en hupsakee, je bent geupdate. Dat is super simpel... en altijd up to date!

[Antiloop]

tjsa..

(jammergenoeg) is het niet alleen bij phpBB ditzelfde is ook aan de hand bij vBulletin echter hiervoor moet je wel betalen voor een licentie (280 dollar voor volledige licentie)
sinds begin dit jaar heb ik geupdated vanaf versie 3.0.3 nu in februari zitten we al op versie 3.0.7
4 nieuwe versies in nog geen 2 maanden

alleen niet alles is aan phpbb/vbulletin e.d. aan te rekenen maar heeft (soms) ook met php versies e.d. te maken

[Verwijderd]

heb je wel een hele dure licensie gekocht

vBulletin kost namelijk $160


Voor de mensen die roepen 'Updaten doe je makkelijk'. Is misschien makkelijk, maar je bent er toch weer even mee bezig. En de grootste groep die een forum gebruiken weten niet hoe ze hem moeten updaten laat staan dat ze uberhaupt weten dat het zo lek is.

phpbb voor mij nooit meer in iedergeval.

[Zonique]

phpBB is heel makkelijk te updaten hoor, als je hem maar een beetje slim hebt geinstalleerd en niet de web-developers aan de gang hebt laten gaan:

apt-get update && apt-get upgrade

Easy

[mxcreep]

@Zonique
sure...op een shared hosting pakketje zeker

[Stuiterbal]

Hmm. Net een week geleden phpBB 2.0.12 geïnstalleerd. Ging allemaal vrij makkelijk, ondanks dat ik geen kennis van PHP heb. Het forum beheren, gebruiken en voorzien van een andere skin is inderdaad vrij makkelijk, maar het wordt naar mijn mening allemaal minder makkelijk als ik allerlei 'mods' moet gaan installeren om toch wel nodige features zoals bestanden attachen moet gaan installeren, wat zover ik heb begrepen extra lastig is zodra je een andere skin/theme hebt op het forum. Vooral de topics op het officiele phpBB forum van tientallen pagina's en ReadMe's als boekwerken voor dingen als 'EasyMod' en 'AttachMod' maken het er niet makkelijk op.

Even voor de duidelijkheid, phpBB 2.0.12 was het eerste forum dat ik zelf heb geïnstalleerd en beheer. Het is ook enkel voor vier verschillende mensen.

Binnenkort eens kijken hoe ik deze 'update' (?) ga installeren

[Vorkie]

Heel simpel stuiterbal.

Controleer de versie die je nu hebt, zo te zien is dat .12.
Open deze tarbal en pak deze uit op een lokatie die je zelf het makkelijkste vind.

Ga dan naar die plek en haal daar alle tarretjes weg die je niet nodig hebt.
jij hebt nodig: 2.0.12_to_2.0.13.tar.

Dan upload je met FTP de 4 mappen en die tarbal naar je ftp.
Open dan [url="http://blabla/install/update_to_latest.php"]http://blabla/install/update_to_latest.php[/url] en wacht een moment.
Dan is het als het goed is klaar
Vergeet niet je database te backuppen en je config.php ergens anders op te slaan... kan namelijk altijd fout gaan.

[Stuiterbal]

Thx

[Verwijderd]

Ik draai phpBB nu ongeveer een jaartje en heb niets dan lof voor de makers.

Zodra er een exploit is gevonden word het gewoon gefixxed, het updaten gaat erg simpel, mijn board is redelijk gemod en ik moet dus alle updates handmatig doorvoeren en ook dat is vaak een fluitje van een cent, goed lezen en opletten that's all.

Ook de support is prima, als je ergens een probleem mee hebt word je op de forums over het algemeen snel en goed geholpen.

Opmerkingen zoals 'dit board is zo lek als een mandje' vindt ik een beetje overdreven. Het is een enorm veel gebruikt board, dus een populair doelwit bovendien is er een enorme community die lekken heel weten te vinden en te dichten, vandaar de behoorlijk hoge frequentie van updates.
Maar ik heb liever iedere maand een update dan een stuk software waar verder niet naar om gekeken word.

[Verwijderd]

Ik heb dit pakket draaien voor de website van de duikvereniging draaien waar ik lid van ben.
Echt een perfect pakket.

Enne... lekker knutselen aan de scripts is toch leuk? Anders heb je hier ook niks te zoeken denk ik. Wees blij dat er weer wat te rommelen valt. Als alles in 1x goed is, wordt het leven zo saai... en op deze manier het is nog leerzaam ook.

Hulde aan het team, wat deze updates snel en accuraat regelt!

[PowerSp00n]

Ben eens wat aan het testen gegaan met die session bug. Klopt inderdaad dat je dan bijvoorbeeld rechten van een admin kan krijgen. Maar tot nu toe is het me nog niet gelukt om ook echt iets aan te passen, bij verschillende acties blijft phpBB toch doodleuk 'Location-en' naar de loginpage, al is het natuurlijk wel zo dat dat sowieso al niet zou moeten kunnen . Nog eens wat verder prutsen...