Problém jsou admini, co je nenasadí.
Souhlasím. Realistický admin, který spočítá, o co všechno by se měl starat a co všechno to stojí, ale zakázku nezíská. Zákazník o rizicích nechce slyšet (admin je za potížistu), ale když na ně dojde, tak si každý představuje, že jsou k dispozici kapacity a peníze na čas, co oprava / údržba stojí.
Zajímalo by mě, kolik zadavatelů z těch desetitisíců instalací platí byť i jen stokorunu měsíčně za nějakou prevenci.
David Grudl uveřejnil rychlí fix v php, který stačí zavolit na existující instalaci, https://gist.github.com/dg/be0f26b31be15a2f1b1208a1714bf415, případně tu drobnou úpravu lze udělat přímo v kódu ručně. Pouze ošetřuje tenhle stav, aby se callback nezavolal.
Existuje také možnost tyhle url odchytnout na proxy na vstupu a nedovolit jejich zavolání. Tak jsme to my ošetřili obecně v infrastruktuře my u velkých firem. Stačí chytat argumenty callback v kombinací s cmd. V callbacku nesmí být věci jako shell_exec a další OS funkce.
Chyba se již zneužívá.