Документация для специалистов

Багрепорт

Хотелки

Удаление всей папки assets/images/ при деинсталляции minishop2

Баг в xPDOQuery::set(). Округление десятичных.

Уязвимость в коннекторах MODX Revolution всех версий

Wayfinder Revo + hideSubMenus

Не очищается список адресатов при использовании modUser::sendEmail()

Небольшая уязвимость в ShopModxBox. Переопределение цены при заказе.

php basename(). Проблема с кириллицей.

Как добавить скайп и прочию инфу в профель?

Справедливости ради стоит отметить, что этот баг пофиксен месяца два назад. Вот последнее упоминание этой причины. Так что версии старше 2.0.0 можно удалять без особых.

Справедливости ради стоит отметить, что этот баг п

Я поленился обновляться, установил securitypatch20130604 в результате приходит сообщение с почты сайта «Нello!», которая нигде не указана, в журнале ошибок вижу:
 [2013-06-07 13:43:19] (ERROR @ /connectors/browser/file.php) Could not prepare context: msgr
 [2013-06-07 13:43:19] (ERROR @ /connectors/browser/file.php) Could not load context: mgr
 Получается патч не работает?

Я поленился обновляться, установил securitypatch20

[2013-06-07 13:43:19] (ERROR @ /connectors/browser/file.php) Could not prepare context: msgr

Это как раз правильная ошибка. То есть кто-то пытался простучаться по этой уязвимости, но MODX не смог проинициализировать фейковый контекст, и записал ошибку в лог. Но при этом дальше выполнение коннектора/процессора должно быть бессмысленно, так как объект $modx->context после такой ошибочной инициализации просто отсутствует, и тот же вызов метода $modx->hasPermission() просто развалится фатальной ошибкой пыхпыха. Нет у меня уверенности, что это правильно (я предлагал вообще неудавшуюся попытку инициализации контекста разваливать ошибкой 500, как это происходит при неудавшейся инициализации самого MODX-а), но все равно поверхностно выглядит так, как будто дырку все-таки залатали. А письма приходят — скорее всего вы успели заразу поймать раньше. Затрите MODX новой версией прям поверх текущего сайта и проверьте имеющиеся сниппеты и плагины. Не лишним было бы переустановить все пакеты в системе.

[2013-06-07 13:43:19] (ERROR @ /connectors/browser/file.php) Could not prepare context: msgr Это как раз правильная ошибка. То есть кто-то пытался простучаться по этой уязвимости, но MODX не смог проинициализировать фейковый контекст, и записал ошибку в лог. Но при этом дальше выполнение коннектора/процессора должно быть бессмысленно, так как объект $modx->context после такой ошибочной инициализации просто отсутствует, и тот же вызов метода $modx->hasPermission() просто развалится фатальной ошибкой пыхпыха. Нет у меня уверенности, что это правильно (я предлагал вообще неудавшуюся попытку инициализации контекста разваливать ошибкой 500, как это происходит при неудавшейся инициализации самого MODX-а), но все равно поверхностно выглядит так, как будто дырку все-таки залатали. А письма приходят — скорее всего вы успели заразу поймать раньше. Затрите MODX новой версией прям поверх текущего сайта и проверьте имеющиеся сниппеты и плагины. Не лишним было бы переустановить все пакеты в системе.

[2013-06-07 13:43:19] (ERROR @ /connectors/browser

То что заразу поймал раньше — исключено, просто у меня стоит пересылка любой почты с этого хостинга, видимо хацкер отправил письмо себе, чтобы проверить что у него все получилось, я как понял, сразу переименовал папку на хостинге, залил обновления и обновил все сайты. Сейчас все, проверил, вроде все нормально, обошлось.

То что заразу поймал раньше — исключено, просто у 

Я на modxcloud.com все свои сайты держу. Во-первых, все сайты абсолютно отделены друг от друга (взломав один сайт, не залезешь ни в базу, ни в файлы другого). Во-вторых, обновление или переустановка MODX-а в два клика выполняется. В-третьих, оперируешь не полными копиями сайта, а снимками, которые не несут в себе ядро, а только пользовательские эддоны. В итоге ядро четко отделено от пользовательской части сайта, и если зараза и сидит где-то плотно, можно частями сайты перетащить на новый двиг, полностью проверив все составляющие. Vapor и packMan в помощь.
 А с modxSDK я вообще сейчас только в админке и программирую, так что вообще не парюсь с настройками доступов (FTP и т.п.).

Я на modxcloud.com все свои сайты держу. Во-первых

Кстати, по поводу всех этих коннекторов и т.п. В своих пользовательских коннекторах я всегда явно указываю $_SERVER['ctx'] = 'web'; С этими коннекторами всегда вопрос безопасности стоял остро и первый мой багрепорт на эту тему был еще в 2011-ом.
 

Но это свои пользовательские коннекторы. А что делать с системными? Ведь во-первых, в ядро лезть — это совсем не по религии, а во-вторых, при переустановке MODX-а это все затрется. На этот счет есть очень элегантное решение: можно просто переопределить класс обработки процессоров. Вот в connectors/index.php есть такая строка:
 

$connectorRequestClass = $modx->getOption('modConnectorRequest.class',null,'modConnectorRequest');

А значит вы можете создать свой класс, расширить им базовый modConnectorRequest, прописать его в системную настройку с именем modConnectorRequest и в своем классе уже дополнительно прописать проверки.
 

К примеру в базовом классе есть метод initialize:
 

public function initialize() {
    if ($this->modx && is_object($this->modx->context) && $this->modx->context instanceof modContext) {
        $ctx = $this->modx->context->get('key');
        if (!empty($ctx) && $ctx == 'mgr') {
            $ml = $this->modx->getOption('manager_language',null,$this->modx->getOption('cultureKey',null,'en'));
            if (!empty($ml)) {
                $this->modx->setOption('cultureKey',$ml);
            }
        }
    }

    /* load default core cache file of lexicon strings */
    $this->modx->lexicon->load('core:default');

    if ($this->modx->actionMap === null || !is_array($this->modx->actionMap)) {
        $this->loadActionMap();
    }

    return true;
}

Собственно, у меня есть пара вопросов к этому коду, но сейчас не об этом. В общем, переопределим этот метод и пропишем явно проверку контекста:
 

public function initialize() {
    if (!$this->modx OR !is_object($this->modx->context) OR !$this->modx->context instanceof modContext OR !in_array($this->modx->context->key, array('web', 'mgr'))){
        return 'Access denied';
    }
    
    return parent::initialize();
}

Все. Если контекст не будет инициализирован, или он не в списке разрешенных, то шлем лесом.

Кстати, по поводу всех этих коннекторов и т.п. В своих пользовательских коннекторах я всегда явно указываю $_SERVER['ctx'] = 'web'; С этими коннекторами всегда вопрос безопасности стоял остро и первый мой багрепорт на эту тему был еще в 2011-ом. Но это свои пользовательские коннекторы. А что делать с системными? Ведь во-первых, в ядро лезть — это совсем не по религии, а во-вторых, при переустановке MODX-а это все затрется. На этот счет есть очень элегантное решение: можно просто переопределить класс обработки процессоров. Вот в connectors/index.php есть такая строка: $connectorRequestClass = $modx->getOption('modConnectorRequest.class',null,'modConnectorRequest'); А значит вы можете создать свой класс, расширить им базовый modConnectorRequest, прописать его в системную настройку с именем modConnectorRequest и в своем классе уже дополнительно прописать проверки. К примеру в базовом классе есть метод initialize: public function initialize() {
    if ($this->modx && is_object($this->modx->context) && $this->modx->context instanceof modContext) {
        $ctx = $this->modx->context->get('key');
        if (!empty($ctx) && $ctx == 'mgr') {
            $ml = $this->modx->getOption('manager_language',null,$this->modx->getOption('cultureKey',null,'en'));
            if (!empty($ml)) {
                $this->modx->setOption('cultureKey',$ml);
            }
        }
    }

    /* load default core cache file of lexicon strings */
    $this->modx->lexicon->load('core:default');

    if ($this->modx->actionMap === null || !is_array($this->modx->actionMap)) {
        $this->loadActionMap();
    }

    return true;
} Собственно, у меня есть пара вопросов к этому коду, но сейчас не об этом. В общем, переопределим этот метод и пропишем явно проверку контекста: public function initialize() {
    if (!$this->modx OR !is_object($this->modx->context) OR !$this->modx->context instanceof modContext OR !in_array($this->modx->context->key, array('web', 'mgr'))){
        return 'Access denied';
    }
    
    return parent::initialize();
} Все. Если контекст не будет инициализирован, или он не в списке разрешенных, то шлем лесом.

Кстати, по поводу всех этих коннекторов и т.п. В с

Бывает :)

Но почему-то список адресатов не очищался... И с каждым новым письмом список получателей увеличивался. В итоге самые давние пользователи сайта получили наибольшее число писем. Еще раз извините! Я не специально.

Собственно ничего страшного!)) Конечно был некоторый шок/недоумение что это вдруг такой поток одного и того же письма))) :) С другой стороны даже настроение стало лучше, и всё будет хорошо!))) Мы всё понимаем! :)

Но почему-то список адресатов не очищался... И с каждым новым письмом список получателей увеличивался. В итоге самые давние пользователи сайта получили наибольшее число писем. Еще раз извините! Я не специально. Собственно ничего страшного!)) Конечно был некоторый шок/недоумение что это вдруг такой поток одного и того же письма))) :) С другой стороны даже настроение стало лучше, и всё будет хорошо!))) Мы всё понимаем! :)

Но почему-то список адресатов не очищался... И с к

Алишер, привет! :)

Сергей, привет! Спасибо за понимание! :)

Уже отчаялся повторить эту ошибку. Гнал по несколько емейлов на свои ящики, и все шло ОК, то есть без кучи копий в адресатах. Вроде тот же самый скрипт, а ошибки нет... И тут меня осенило! Я все письма гнал на разные ящики, но одного домена. А что если на разные? Добавил в список получателей емейл с другим доменом. И вот тут ошибка и проявилась)))
 Чуть позже более предметно ее изучу, разберусь в чем проблема и отпишусь.

Уже отчаялся повторить эту ошибку. Гнал по несколь

Все, разобрался. Оказалась целая история :) Это из разряда сложных логических ошибок.


Для начала кратко напомню задачу и суть проблемы: я решил всем пользователям разослать кратенькую новость. Для этого я сделал выборку всех активных пользователей и в цикле запустил отправку писем каждому через метод $user->sendEmail() (скрипт смотрите выше). Проблемы выразилась в том, что каждому новому письму помимо самого адресата добавлялся список всех предыдущих адресатов, то есть с каждым новым письмом количество адресатов увеличивалось на одного и некоторые пользователи получили десяток и больше писем. Благо я быстро заметил и понял проблему и рестартанул веб-сервер и сендмейл.


Сейчас вот полтора часа разбирался в сути проблемы и разобрался. Оказывается, все дело в моем личном емейле. Ну и плюс логическая ошибка в методе modUser::sendMail(). Ошибка заключалась в том, что если отправка письма выполняется с ошибкой, то метод возвращает false, не доходя до очистки списка получателей. Вот эти строчки:
 if ($this->xpdo->mail->send() == false) {
     return false;
 }
 $this->xpdo->mail->reset();
 return true;
 Как видите, в случае ошибки $this->xpdo->mail->reset() просто не может выполниться. А раз список не очищается, в нем присутствует и мой злополучный емейл. А это значит, что при следующей попытке отправить письмо (точнее письма) phpMailer опять вернет ошибку (хотя всем, кроме меня он письма отправит успешно), ну и так далее в цикле.
 Конечно же это бага, и пуллреквест я отправил https://github.com/modxcms/revolution/pull/11931/files


Так а в чем косяк моего емейла? В чем он виноват?
 А вот это вообще отдельная история :) Дело в том, что домен modxclub.ru привязан к серверу, на котором и размещается сайт modxclub.ru (что вполне логично). Так вот, при попытке отправки письма сервер определял, что он сам и является машиной-получателем, а не на гугл надо слать, где на самом деле почта и располагается. И он такой шлет запрос-отправку на локалхост, но шлет он для info@. А инфо (как и любой другой ящик) - это пользователь. И он такой спрашивает "а есть такой пользователь info?", на что система отвечает "нет, такого пользователя нет", и веб-сервер такой "а, ну тогда я не могу письмо доставить", и phpMailer возвращает false. Ну а все остальное я описал выше :)


Вот такая веселая бага)))

Все, разобрался. Оказалась целая история :) Это из разряда сложных логических ошибок. Для начала кратко напомню задачу и суть проблемы: я решил всем пользователям разослать кратенькую новость. Для этого я сделал выборку всех активных пользователей и в цикле запустил отправку писем каждому через метод $user->sendEmail() (скрипт смотрите выше). Проблемы выразилась в том, что каждому новому письму помимо самого адресата добавлялся список всех предыдущих адресатов, то есть с каждым новым письмом количество адресатов увеличивалось на одного и некоторые пользователи получили десяток и больше писем. Благо я быстро заметил и понял проблему и рестартанул веб-сервер и сендмейл. Сейчас вот полтора часа разбирался в сути проблемы и разобрался. Оказывается, все дело в моем личном емейле. Ну и плюс логическая ошибка в методе modUser::sendMail(). Ошибка заключалась в том, что если отправка письма выполняется с ошибкой, то метод возвращает false, не доходя до очистки списка получателей. Вот эти строчки:
 if ($this->xpdo->mail->send() == false) {
     return false;
 }
 $this->xpdo->mail->reset();
 return true;
 Как видите, в случае ошибки $this->xpdo->mail->reset() просто не может выполниться. А раз список не очищается, в нем присутствует и мой злополучный емейл. А это значит, что при следующей попытке отправить письмо (точнее письма) phpMailer опять вернет ошибку (хотя всем, кроме меня он письма отправит успешно), ну и так далее в цикле.
 Конечно же это бага, и пуллреквест я отправил https://github.com/modxcms/revolution/pull/11931/files Так а в чем косяк моего емейла? В чем он виноват?
 А вот это вообще отдельная история :) Дело в том, что домен modxclub.ru привязан к серверу, на котором и размещается сайт modxclub.ru (что вполне логично). Так вот, при попытке отправки письма сервер определял, что он сам и является машиной-получателем, а не на гугл надо слать, где на самом деле почта и располагается. И он такой шлет запрос-отправку на локалхост, но шлет он для info@. А инфо (как и любой другой ящик) - это пользователь. И он такой спрашивает "а есть такой пользователь info?", на что система отвечает "нет, такого пользователя нет", и веб-сервер такой "а, ну тогда я не могу письмо доставить", и phpMailer возвращает false. Ну а все остальное я описал выше :) Вот такая веселая бага)))

Все, разобрался. Оказалась целая история :) Это из

Все, пуллреквест приняли, бага поправлена :)

Это не багрепорт, это хотелка. Пока никак, будет позже.

Это не багрепорт, это хотелка. Пока никак, будет п

Нашел чуть более элегантное решение:
 

$name = rawurldecode(basename(rawurlencode($name)));

Пока работает без нареканий.

Нашел чуть более элегантное решение: $name = rawurldecode(basename(rawurlencode($name))); Пока работает без нареканий.

Нашел чуть более элегантное решение: $name = rawur

Круто! Возьму на заметку.

Нифига оно не работает, я поторопился от радости и недотестировал. Тогда вот такой вариант:
 

$name = array_pop(explode(DIRECTORY_SEPARATOR, $name))

Нифига оно не работает, я поторопился от радости и недотестировал. Тогда вот такой вариант: $name = array_pop(explode(DIRECTORY_SEPARATOR, $name))

Нифига оно не работает, я поторопился от радости и

Собственно, и это гораздо меньше по объему, чем представленная в топике функция.

Собственно, и это гораздо меньше по объему, чем пр

Agel_Nash

basename

cyrillic

Dropbox

GitHub

hash

hideSubMenus

minishop2

modUser::sendEmail()

modx

modx revolution

shopModx

ShopModxBox

Wayfinder

xPDO

баги

багрепорт

Дропбокс

емейл-рассылки

кирилица

коннектор

контекст

отправка писем

рассылка писем

условия

уязвимость

цены

# Николай Ланец aka Fi1osof
**Lead Fullstack Developer / Ментор / Евангелист современного JS‑стека**

---

## О себе

Я — не просто Senior Developer с 2007 года. Я — тот, кто строит продукты будущего на базе современных технологий и помогает другим подниматься на новую ступень айти-карьеры. Создатель и идейный вдохновитель freecode.academy — платформы, где обучение перестает быть скучной обязаловкой и становится настоящим технологическим приключением.

---

## Мой стек и философия разработки

Основу моего рабочего арсенала составляют:

- [Javascript](/technologies/ck1faudv928l40a89c4u9zxlm), [TypeScript](/technologies/ckcvwwx010kov08009u7y2rav)
- [React](/technologies/ck1fawbdw28v20a891k4wlh27), [Next.js](/technologies/ckg2jd4ffr9260730aog66dri)
- [Node.js](/technologies/ckt55wm59272831wo9gg9r8ynx), [GraphQL](/technologies/ck1fawhqk28vu0a8995lqvlsj), [Apollo Client](/technologies/ck2zdcg0vpvc10a89xjmhj1e0), [Nexus](/technologies/ckl2pbh0fxew60730ifl3zozp), [Prisma](/technologies/ck2zdbmi7pv8r0a89ntc2r0f1)
- DevOps: [Docker](/technologies/ck2y1x9lho9cy0a8953xzfjr8), [docker-compose](/technologies/ck2y1xqino9g80a89tsftxin2), [Caddy](/technologies/ck2zd8ovqpuyl0a8909748sbu), [Ubuntu](/technologies/cktu8giks3593911vmle30ztqxt)
- UI-инструменты: [Styled-Components](/technologies/ckk8myysio7lw0730csszvrdw), [Material-UI](/technologies/ckljv3jwd7bgf0730huxlko9n), [react-hook-form](/technologies/ckmx8cn9fmwrv073032e67722)
- Всё актуальное для разработки, CI/CD и автоматизации 
- Эксперименты с [WebGL](/technologies/ckan9anntc12f08003saqttrq), [A‑Frame](/technologies/ck2tgoiz8j37y0a89c7gxsrxc), [Three.js](/technologies/ck2tgns1nj32z0a89vmw7xw3f), [Unreal Engine 4](/technologies/ck7puswy6g4yb07004cdp6lbr), [Elixir](/technologies/ckn0olavrnnzi0730xs8rctn8), [C++](/technologies/cknin1y8lu2fr07307mskn2fn)

---

## Разработка и менторство

- Более 15 лет **hands-on** разработки и проджект‑менеджмента
- Главный разработчик и преподаватель платформы [freecode.academy](https://freecode.academy)
- **Ведущий менти-пул на платформе** — лично выращиваю новых звезд отрасли

### Мои менти и их результаты

| Менти (ФИО \| username)                               | Уровень | Рейтинг |
|-------------------------------------------------------|---------|---------|
| [Попов Дмитрий \| linklib](/users/cjoe890c706ji0d962oismzoe)           | 3       | 315     |
| [Сэт \| defk1lla](/users/ckzh1ita312978121imr9hpqfc64)                 | 3       | 670     |
| [Ксения Матвеева \| Ксения Матвеева](/users/ckz4awwlh10627771imr4wvpb7cj) | 2       | 0       |
| [Михаил \| Balamut](/users/cl1npq92z10258261vmbq0w6vfh2)               | 2       | 0       |
| [Ольга Ершова \| angel](/users/cjoe87zhk00250d969arluevk)              | 1       | 0       |
| [Егор \| rogedkone](/users/cksrdp47d3308261ijuq7wfrxdl)                | 3       | 0       |
| [Roman \| Roman43](/users/ckur2qtt64721431xoboyjcte52)                 | 2       | 0       |
| [Бут Игорь \| santiment](/users/ckttd9x20893951vmltb8t7sha)            | 1       | 0       |

**Доношу простую мысль: успех — это не магия, это осознанная системная работа и кайф от роста.**
Мои менти выводят решения в продакшн, пробиваются в лидеры рейтингов — кому не хочется быть в такой команде?

---

## Почему я?

- **Прокачаю проект** — от TDD архитектуры до культурного CI/CD
- **Вдохновлю команду** — и научу мыслить по‑новому, где ИИ — напарник, а не угроза
- **Выращу мидлов и сеньоров** — доказано платформой и рейтингами моих учеников

**Сила — в сообществе, а техника — это просто смазка для ваших побед. Присоединяйтесь!**

---

## Контакты

- 📧 [n.lanets@freecode.academy](mailto:n.lanets@freecode.academy)
- Телеграм: [@freecode_academy](https://t.me/freecode_academy)

---

**P.S.**: Мой опыт — ваш драйвер роста. Хотите в команду? Ищете менторство? Пишите. Растём вместе!