Sobre o MPSB03-06 Security Patch

Como vocês viram abaixo a Macromedia lançou um patch de correção para uma vulnerabilidade de cross-site scripting (XSS). O que acontecia é que algumas variáveis (attributes.detail e cgi.http_referer) passadas que iam para a página de erro não eram tratados de forma adequada, e permitiam portanto ao atacante passar alguma informação adicional.

O tratamento das supracitadas, assim como de outras variáveis presentes no arquivo genérico de erro (detail.cfm) foram tratados com um simples #XMLFormat()#, transformando as tais “informações adicionais” que um atacante poderia passar. (Por exemplo: > vira >)

Em tempo para quem quiser brincar: a variável #cgi.user_agent# não está circundada por um XMLFormat(). 😉

E não custa dizer novamente: Não deixe o debug habilitado em servidores de acesso público! 🙂

CSV para banco de dados…

Existem mil e uma maneiras (invente uma!) de se mandar dados de uma planilha em Excel para um banco de dados, mas uma maneira interessante é exportar os dados para um arquivo .CSV e através de um script jogar os dados no database:

<cffile action=”read” file=”c:tempdados.csv” variable=”csvFile”>

<cfquery name=”migra” datasource=”datasource”>

<cfloop index=”i” list=”#csvFile#” delimiters=”#chr(10)##chr(13)#”>
INSERT INTO contatos (IDstatus, nome, instituicao, telefone, email)
VALUES (1, #ListChangeDelims(ListQualify(i,”‘”,”;”),”,”,”;”)#);
</cfloop>

</cfquery>

Primeiro lê-se o arquivo .csv com os dados exportados da planilha em Excel e faz-se um loop sob o arquivo, usando uma quebra de linha como delimiter da “lista” (que é o .csv lido).

A função ListQualify coloca um apóstrofo (‘) antes de depois de cada ponto-e-vírgula (;), o que quer dizer que Nome do Fulano; Sobrenome do Fulano se transforma em ‘Nome do Fulano’;’Sobrenome do Fulano’.

A outra função usada, ListChangeDelims, bem, essa tá na cara :o) Ela muda o delimiter de ponto-e-vírgula para a vírgula propriamente dita, que é a usada para separar os valores na query.

E por fim, o cfloop está dentro da query por uma questão de performance: conecta-se ao banco de dados apenas uma vez, mandando um único statement sql completo, com todos os dados a serem inseridos. Note o ponto-e-vírgula ao final do VALUES (….).

Databases Access travadas

Da série “Best of CF-Brasil”…
O ColdFusion Server mantém a conexão a um banco de dados, e caso este seja um Access que você deseje apagar para efetuar o upload de um novo .mdb, não irá conseguir. Uma idéia interessante que surgiu tempos atrás na lista CF-Brasil, do Alexandre Scaramuzza foi gerar um erro (!) na query para derrubar a conexão; algo como fazer SELECT * de uma tabela que não existe.

Idéia interessante não?

Uma outra maneira de destravar temporariamente a conexão é:

<cfset destrava = cfusion_disable_dbconnections("nome_access_datasource","1")>

E para habilitar novamente:

<cfset trava = cfusion_disable_dbconnections("nome_access_datasource","0")>

Permanentemente a opção de travar pode ser desabilitada no ColdFusion Administrator: ao criar datasources ODBC Socket habilite as opções avançadas e desmarque a opção Maintain Connections (marcada como default). Reinicie o servidor ColdFusion. Desse modo as conexões ao .mdb em questão nunca serão exclusivas, o que requer cuidados na hora de atualizar a database, principalmente num meio multi-usuários.

Para desconectar temporariamente de todas as datasources:

<cfset CFUSION_DBCONNECTIONS_FLUSH()>

Leitura interessante:
How are database connections handled in ColdFusion?