| Bug beim Löschen |
|
|
1
|
24.03.11 16:38
Max 
|
Bug beim Löschen
Hi!
Ich habe soeben wie schon vermutet herausgefunden, dass es fataler Bug besteht: Die URLs zum Löschen der Beiträge werden nicht "verschlüsselt". Man kann einfach einen Admin auf eine URL führen, die auf den Löschlink leitet. Ein kleines Beispiel:
Ich schreib einen Beitrag in dem ich "scheinbar" Hilfe brauche und stelle einen Link, hinter dem sich laut meiner Angabe ein Bild verbirgt, in das Thread. In Wirklichkeit wird werden aber Themen Im Board gelöscht.
Sagen wir mal ich will dieses Thread weg haben: http://forum.disputa.de/board/plugins-st...lasse-10_8.html
Wenn unser Admin jetzt hier drauf klickt wird das Thema gelöscht (Der Link funktioniert. Klicken auf eigene Gefahr!):
http://bit.ly/gWmX7r
Ich kann das auch noch viel professioneller machen: Ich leite den Admin auf eine Seite von mir auf der sich ein unsichtbares iFrame verbirgt. In diesem Fall merkt der Admin nicht Mal, dass das Thema gelöscht wurde.
Idee zur Lösung
An die URLs müssen unbedingt automatisch generierte Keys angehängt werden (uniqid()). So wird jeder Link einzigartig und kann nur von dem User benutzt werden, für den der Key auch generiert wurde.
Ich hoffe, dass dieser Bug so schnell wie möglich sowohl in der Full als auch in der Lite Version gefixt wird.
Grüße
Maximilian
______________________________
m9x.de
|
|
|
|
|
|
24.03.11 16:54
cfws.de  Administrator
|
Re: Bug beim Löschen
Hallo Max,
danke für den Hinweis. Ich werde es in Version 8.1.1 beheben und zur Sicherheit einen Hash in die URL einbauen. Teste doch mal hier im Forum, ob es noch geht. Ich bin gern bereit auf einen Link zu klicken ;-)
Constantin Fahl
---------------------------
disputa.de - Support
E-Mail: support@disputa.de
Internet: www.disputa.de
|
|
|
|
|
|
24.03.11 20:25
cfws.de Administrator
|
Re: Bug beim Löschen
Das ging aber nur, weil du den Hash kanntest. Oder wie generierst du den?
Constantin Fahl
---------------------------
disputa.de - Support
E-Mail: support@disputa.de
Internet: www.disputa.de
Zuletzt bearbeitet am 24.03.11 20:26
|
|
|
|
24.03.11 20:51
Max
|
Re: Bug beim Löschen
Guck dir mal den Quelltext an. Ich habe einfach die Bestätigungsseite in ein iFrame gepackt. Das iFrame ist so breit und hoch, dass unten links der "Ja"-Button ist. Dann hab ich das iFrame selbst noch verschoben, dass der "Ja"-Button über dem "hier"-Link liegt. Nun habe ich noch ein paar Weiße Divs über die Stücke, die nicht sichtbar sein sollen, gelegt. Zum Schluss hab ich den "Ja"-Button noch unsichtbar gemacht, also 100% Transparent. Fertig die perfekte Seite, fällt garantiert keinem Admin auf so von der Optik her. Auf solche "hier"-Links klickt man gerne mal :D
______________________________
m9x.de
|
|
|
|
24.03.11 22:36
cfws.de Administrator
|
Re: Bug beim Löschen
Hallo Max,
gegen solche Spielereien kann auch kein Hash schützen. Ich glaube aber kaum, dass sich jemand diese Mühe macht, um einen Beitrag löschen zu lassen. Außerdem klappt es ja nur, wenn ein Admin oder Moderator auf die Seite gelenkt wird und den Link anklickt.
Die einzige Lösung wäre ein Captcha-Code. Es wäre aber ziemlich unpraktisch, vor dem Löschen jeden Beitrags einen Code einzugeben. Ich werde es daher vorerst beim Hash belassen.
Constantin Fahl
---------------------------
disputa.de - Support
E-Mail: support@disputa.de
Internet: www.disputa.de
|
|
|
|
25.03.11 00:04
Max
|
Re: Bug beim Löschen
Ja, schon klar :) Wollte dennoch darauf aufmerksam machen. Extrem sicher wäre es wenn Du die Bestätigungsseite auch hashst und zwar mit einem anderen Hash. Aber so sollte es gut funktionieren. Großes Lob für den schnellen Bugfix!
______________________________
m9x.de
|
|
|
|
|
|
1
|
Anmelden
