opgelost Kunena forum avatar uploaden

Hoi,

Ik zou graag willen dat gebruikers zelf hun avatar kunnen uploaden.
Dit werkt opzich prima, maar het bevat volgens mij wel een zeer gevaarlijk beveiligingslek.

Ik heb het namelijk even uitgetest, maar naast een afbeelding kun je ook gewoon een html bestand of php bestand als avatar kiezen.
Hiermee zou het dus mogelijk zijn om (zeer) gevaarlijke code te uploaden.

Het betreft het forum op www.effebuurten.nl (ik denk niet dat de link in dit geval relevant is maar toch).
Is het mogelijk om dit zo in te stellen dat alleen als voorbeeld .jpg en .png te uploaden is?

Je kunt geen .html of .php uploaden. Als je dat doet krijg je dus geen melding dat de profielafbeelding succesvol opgeslagen is. Misschien een klein schoonheidsfoutje in de melding, maar verder is er geen probleem.

Het wordt wel daadwerkelijk geüpload.
Ik zie het bestand er ook bijstaan op de ftp in de map waar avatar uploads worden opgeslagen.

EDIT

Ik zie overigens dat .php niet lukt maar bijvoorbeeld .html wel.

Ik kan het niet reproduceren, dus denk dat het handig is om je vraag even op het forum van de makers te stellen.

Hoe heeft u het proberen te reproduceren?
Als u een .html bestand selecteert en vervolgens in de map "/media/kunena/avatars/users" kijkt via bijvoorbeeld ftp zie ik hem erbij staan.

Dan krijg je de melding dat het een ongeldig afbeeldingsbestand is. html wordt wel geupload inderdaad, maar php niet. Dus voor zover ik weet is dit geen risico.

Het enige wat dan idd jammer is is dat als iemand een .html bestand upload deze niet meer verwijdert wordt na veranderen van afbeelding.
Dat gebeurd bij gewone afbeeldingen wel.

Maar hoe groot is die kans, misschien erg ver gezocht

Heeeeeeeeeeeel ver gezocht. Wij hebben meer dan 9000 leden en geen enkel html bestand.

Haha ok duidelijk verhaal, toch bedankt