Vulnerabilidad en LokiCMS
Hay un bug en casi todas las versiones de LokiCMS hasta la última (0.3.3) que permite inyectar código en el archivo de configuracion (config.php). El exploit modifica la linea que carga la página por defecto y reemplaza el valor actual por uno predefinido. Al no existir la página, el script no carga correctamente y muestra un error al acceder.
Como prevención, lo unico por hacer es sacar los permisos de escritura sobre config.php (chmod 644), una vez que hayas definido una configuracion. Solamente eso.
Si ya sufriste este tipo de ataque, la página principal devuelve un error como este:
Parse error: syntax error, unexpected T_ENCAPSED_AND_WHITESPACE, expecting T_STRING or T_VARIABLE or T_NUM_STRING in /home/***/config.php on line 8
En ese caso, abris el config.php, y en la línea $c_default ingresas (entre comillas) la página por defecto que estaba anteriormente. Despues, le quitas los permisos de escritura como se describe arriba, para evitar cualqueir ejecución futura de la vulnerabilidad.
Supongo que en la próxima version habrá un fix o algo, pero, por ahora, con quitar los permisos de escritura sobre el archivo de configuración es más que suficiente.
Text-Rider
Text-Rider es un script para weblogs (bajo GPL) escrito en PHP por Ahmad. Es sencillo, fácil de configurar, tiene un peso muy reducido y no utiliza bases de datos.
Su funcionamiento es muy similar al de Flatpress, que hace funcionar este mismo blog: almacena todos los datos en archivos de texto en lugar de usar tablas de una db.
Joako9205, Kenshin y yo estamos trabajando para mejorar (de a poco) el código y algunas vulnerabilidades serias. Cualquiera que tenga conocimientos de PHP, HTML, Javascript o CSS y esté interesado en realizar algun aporte, puede informarse sobre el proyecto en Text-Rider Hispano, o directamente en el foro de desarrollo.
Desde esa misma web, se puede descargar el script en forma gratuita y (mas adelante) ver una lista de las funcionalidades próximas a implementar.
También hay un mirror disponible en la sección de descarga de esta web, en caso de que el servidor primario no funcione.
A pesar de su tamaño y lo minimalista del diseño, creo que promete bastante y que es una buena (y gratuita) alternativa para aquellos que no quieran utilizar blogs hosteados por terceros o que poseen servidores con prestaciones limitadas.
Acá pueden observar, mas o menos, el blog en funcionamiento. No otorgo acceso libre al panel de administración, porque lo utilizo para testear los cambios. Casi todas las funciones nuevas se encuentran ahi, asi que no van a poder ver mucho, por el momento.