Kritik und Fragen an Nickles 2.713 Themen, 23.043 Beiträge

Verfolgung starten Optionen

Gravierende Sicherheitslücke bei Nickles. Wo melden?

Synthetic_codes / 25 Antworten / Flachansicht Nickles

Moinsen... Ich habe mal wieder eine Sicherheitslücke im Nickles CMS entdeckt, die in die kategorie GAU einzustufen wäre. Aus diesem grund will ich die natürlich nicht öffentlich melden. Wie ist das bei euch vorgesehen? Ein Kontaktformular wäre da vielleicht auch mal nicht unnütz :-)

'); DROP TABLE users;--
bei Antwort benachrichtigen
Nanu, was macht denn mein auf Otto-Normal gestellter IE, wenn ich den ... kongking
richtig, genau darum gings. Ich habe Mike zeitgleich über das problem ... Synthetic_codes
worum gehts denn?? ich hatte mir das mit 3 Browsern angeschaut und konnte ... chrissv2
es gab eine XSS verwundbarkeit in den Signaturen. Dadurch war es möglich, ... Synthetic_codes
Hi Syn Codes, Dickes Dankeschön, dass du so aufmerksam bist, ... Olaf19
jeder der einen thread mit präparierter sig aufruft, und die maus bewegt. ... Synthetic_codes
Widerspruch - Als ich mit dem IE mit dem Mauszeiger über dem Bild war, ... kongking
Moment Kongking - der Parameter, den SynCodes eingesetzt hat, heißt aber ... Olaf19
Hallo Olaf, was Synthetik_codes da jetzt exakt gemacht hat, kann ich Dir ... kongking
dann will ich mal den quelltext meines exploits posten: is ja nur eine zeile Synthetic_codes
javascript Synthetic_codes
EDIT 2: Der leere Post über diesem bestätigt meine vermutung, das wort J A ... Synthetic_codes
Olaf19 Synthetic_codes „EDIT 2: Der leere Post über diesem bestätigt meine vermutung, das wort J A V A...“
Optionen

Etwas Grundsätzliches, was ich sehr erstaunlich finde...

Meine Accountdaten sind doch nur für den Betreiber dieser Website bestimmt. Mit meinem Benutzernamen und Passwort kann mich Nickles.de als den Benutzer Olaf19 identifizieren, anhand dessen prüfen ob ich Premium-Mitglied bin oder Zugang zum VIP-Bereich habe etc. pp.

Andere User haben damit nichts, aber auch gar nichts zu tun. Wie kann es sein, dass der Einsatz von Javascript in einer User-Signatur solche Zugriffe auf die Datenbank erlaubt?

Mir kommt das gerade so vor, als könnte ich mit einem HBCI-Lesegerät an einen Geldautomaten gehen und damit alle Konto- und PIN-Daten der Automatenbenutzer abzapfen - oder so ähnlich :-o

CU - ein etwas ratloser
Olaf

Die Welt ist ein Jammertal ohne Musik. Doch zum Glueck gab es Bach, Beethoven, Haendel und Goethe (Helge Schneider)
bei Antwort benachrichtigen
So wie ich das als HMTLHTMMHL-laie verstanden habe wird einfach dein Cookie ... chrissv2
Dass das ganz einfach geht, ist auch mein Eindruck. Ich bin nur etwas ... Olaf19
naja prinzipiell hat er die schon Das Versäumnis liegt aber an ganz anderer ... chrissv2
Wenn du das Cookie im Firefox löschst, verhinderst du nur, dass ein ... Olaf19
genau deshalb gehe ich mit iPod und Phone auch nicht in den Fips. Reicht ja ... chrissv2
Uralte Sicherheitslücke bei Nickles. Warum nicht früher? xafford
Tut mir leid, Xaff - ich kann mich an diese Diskussion nicht mehr erinnern. ... Olaf19
Es gab keinen Thread, das hatte ich damals per Email mitgeteilt. xafford
Moinsen... Ich habe mal wieder eine Sicherheitslücke im Nickles CMS ... kds
da die lücke weg ist, sehe ich da kein grösseres problem. wie man eine XSS ... Synthetic_codes
http://www.nickles.de/user/images/111275/xaff.jpg ... jueki
Hi Synthetic codes, an dieser Stelle auch hier noch mal vielen Dank für die ... Michael Nickles