Diese wichtige Information ist für alle Leute gedacht die ihre Webseite ohne Frames nach dem Artikel Framelose Webseiten hier auf pscript.de aufgebaut haben.
Es wurde heute eine schwere Sicherheitslücke bekannt die es einem Angreifer ermöglicht mit Hilfe eines geänderten GET Aufrufs beliebige PHP Files auf dem Server ungeparsed anzuzeigen. Somit kann der Angreifer unbedarft Passwörter und Settings beispielsweise aus der config.inc.php lesen.
Zur Sicherheit möchten wir nicht öffentlich weitergeben wie dies möglich ist. Um die Sicherheitslücke zu schliessen ist es notwendig zu verhindern das über die URI eine externe Webseite aufgerufen werden kann. Dies kann man simpel verhindern indem das require() immer die DOCUMENT_ROOT vom Server vorab erhält. Somit sieht der Teil des Scriptes dann so aus:
require(„$DOCUMENT_ROOT/$showpage“);
Der Link dazu : ….php?showpage=pfad/zum/file.htm“>…..
