Joomla! 3.4まではUTF-8の4バイト文字を悪用して重複するログイン名が登録できた

以前の記事CMS四天王のバリデーション状況を調査したところ意外な結果になったで報告したように、Joomla!はログイン名の制限が非常にゆるやかになっています。であれば、🍣とか、💩などを含むログイン名が登録できるのだろうかという疑問が生じました。 とはいえ、以前、Joomla!の「ゼロデイコード実行脆弱性」はPHPの既知の脆弱性が原因で報告したように、少なくともJoomla! 3.4.5までは、MySQLの設定上 UTF-8 の4バイト文字は登録できず、それ以降の文字が全て切り詰められるという問題がありました。 このため、「admin🍣」というログイン名を登録しようとすると、🍣の切り詰めが起こって、adminユーザを二重に登録できなるのではないでしょうか? 試してみる Joomla! 3.4.8の環境を用意して管理者ユーザーを「admin」としておきます。下記のように、default

[ockeghem]

Joomla!のadmin🍣問題についてまとめました

[b-wind]

恐怖！MySQLの怪！ “🍣はMySQLのutf8文字エンコーディングの列ではインサートできない（UTF-8の4バイト文字を許していないため）ので、🍣以降を切り詰めるというMySQLの恐ろしい仕様があります。”

[tsekine]

単にMySQLのutf8(utf8mb4というcharsetの存在も含めて)が💩だという話。

[asakura-t]

（未確認）MySQLのあれはSQL_MODEによって動作が変わるんじゃないっけ？（デフォルト動作がほとんどな気はするけど、バージョンによってデフォルトが変わってたような気もする）

[deep_one]

user名にunique制約をつけない理由が理解できない。

[solidstatesociety]

登録とログインの規則があってないのね

[kenzy_n]

文字化ける