Hinweis bezüglich der Sicherheit

Hallo,

mir ist vorhin durch einen fatalen Fehler aufgefallen, dass bplaced zum Löschen der Datenbank einen normalen GET-Request verwendet. Das hört sich im ersten Moment nicht so schlimm an. Da der Browser URLs in der Verlauf speichert, speichert er auch den Link um eine Datenbank zu löschen. Ich denke mal das betrifft sämtliche Aktionen im Webinterface. Wenn man nicht eingeloggt ist, kann nichts passieren. Falls man doch eingeloggt ist, führt er die Aktion durch.

So ist es mir passiert. Ich hatte eine Testinstallation von Wordpress durchgeführt und dann bemerkt, dass ich das falsche Paket erwischt habe. Ich hab dann die passende Version nochmal hochgeladen und die alte Datenbank einfach gelöscht und eine gleichnamige Datenbank wieder angelegt. Weil ich jetzt die Domain nicht im Kopf hatte, nutze ich halt die automatische Vervollständigung der URL, landete dann aber im Webinterface.

Da mein Browser folgende URL auch im Verlauf hatte http://www.bplaced.net/?location=menu&handler=mysql&db_remove=andre1982am und ich noch eingeloggt war, löschte er die Datenbank.

Das sollte auf jeden Fall geändert werden. GET Requessts dürfen keine Daten verändern. Dafür gibt es ja die POST-Requests.

Im Sinne eurer Kunden solltet ihr das ändern.

hi

das ist soweit richtig, die design-entscheidung damals hätte besser ausfallen können.
Das Verfahren zur Löschung von Datenbanken und anderen Daten wird sich bald generell ändern, da wird GET für so etwas nicht mehr benutzt :slight_smile: