Support Bereich Hier finden Sie Antworten auf alle Fragen zu Ihrem Xobor Forum.
Wählen Sie zunächst einen Hilfe-Bereich.

In Plugins eingegebene Daten werden trotz Plugin-Deaktivierung für Gäste offen im Quellcode angezeigt


Ich habe in einem meiner Foren, das rein privat und komplett geschlossen ist, unter anderem das Plugin Video-Board von Mike48 und das Plugin Countdown von Olaf aus dem offizilellen Plugin-Store installiert. Darüber hinaus habe ich noch 3 weitere Plugins aus dem Store installiert.

In meinen Plugin-Einstellungen in der Administration habe ich die Sichtbarkeit der Inhalte dieser Plugins für Gäste deaktiviert. Meine Usergruppe der Gäste hat keinerlei Leserechte, keine Schreibrechte, und uneingeloggten Gästen wird auch generell nichts angezeigt, d.h. das Forum als solches ist für Gäste komplett unsichtbar.

Durch einen reinen Zufall habe ich gestern festgestellt, dass die privaten Texte, die im Plugin Countdown eingegeben wurden, sowie die privaten Texte der-Beschriftungen der Video-Buttons und die URls zu den im Plugin Video-Board eingebetteten Videos über den Quellcode der Seite auszulesen sind, obwohl diese beiden Plugins für Gäste deaktiviert sind. Ich hatte mich aus dem Forum ausgeloggt, mit der rechten Maustaste auf die Startseite geklickt und den html-Quellcode derselben aufgerufen, und dort fand ich dann all die genannten Dinge in Form von Quellcode, obwohl auf der Webseite als solcher - so wie es sein soll - nichts dergleichen zu sehen war.

Da ich als Laiin dachte, es handele sich um einen Bug in den Plugins von Mike48 und Olaf, postete ich meine Beobachtung zunächst auf RE:Video Board 2.0 - Dein eigenes Forenkino! (3) und einen Querverweis auf Countdown Timer - Erstelle einen Countdown und bestimme wer ihn sieht. Nun gab es eine längere Diskussion hierzu, die ab dem Beitrag #106 aufwärts bis einschließlich Beitrag #143 zu lesen ist. Mike48 meinte zuerst, der Fehler könne am Cache des Browsers liegen usw., doch dies konnte ich dementieren, nachdem ich mir nur zu Testzwecken den Browser Vivaldi heruntergeladen und installiert hatte. Auch in dem jungfräulichen Browser Vivaldi wurden alle privaten Dinge, die in den Plugins eingegeben sind, ganz offen im Quellcode der Seite angezeigt; siehe RE:Video Board 2.0 - Dein eigenes Forenkino!. Dies ist fatal, weil damit die Plugin-Einstellungen "deaktiviert für Gäste" nicht rundum greifen, und die Dinge, die Gäste nicht sehen dürfen, übers Hintertürchen des Quellcodes eben doch sichtbar werden. Ich gebe zu bedenken, dass ins Plugin Video-Board eingebettete Videos "ungelistet" sein können. "Ungelistet" bedeutet, dass diese Videos auf Youtube nicht ergoogelbar sind und der Allgemeinheit auf den Accounts der Youtuber nicht angezeigt werden. Nur wer die entsprechenden Links hat, kann diese Videos sehen. Durch die Anzeige der URLs von ungelisteten Videos im Quellcode werden diese Videos sozusagen durchs Hintertürchen öffentlich. Ich halte dies für eine ganz schlimme Sicherheitslücke, denn was für Gäste unsichtbar sein soll, muss unbedingt auch im html-Quellcode der Seite unsichtbar sein, darf also auch dort keinesfalls angezeigt werden. Der Fehler hat m.E. nichts mit http bzw. https zu tun.

• Wenn die Rechteeinstellungen bei den Plugins so sind, dass Gäste nichts sehen sollen, dann sollen Gäste auch nichts aus dem Quellcode herauslesen können.

Details zu dieser Frage sind wie gesagt ab dem]Beitrag #106 auf RE:Video Board 2.0 - Dein eigenes Forenkino! (3) zu lesen.
Ich verweise insbesondere auch
- auf den Beitrag #125 von Mike48 auf RE:Video Board 2.0 - Dein eigenes Forenkino! (2)
- auf meine anfänglichen Vorbehalte im Beitrag #128 auf RE:Video Board 2.0 - Dein eigenes Forenkino! (2)
- und auf meinen Beitrag #135 auf RE:Video Board 2.0 - Dein eigenes Forenkino!


Dann kam Mike48 zu folgendem Schluss:

Zitat von Mike48 im Beitrag Video Board 2.0 - Dein eigenes Forenkino!

---

So, ich habe jetzt gefunden was ihr meint.

Das können wir im Plugin nicht beeinflussen.

In dem script Block mit den Daten stehen die Daten von den 5 Plugins die in dem Forum aktiv sind.
Diese Daten werden vom Plugin-System da eingebaut, unabhängig ob man das Plugin sehen darf oder nicht.
Ich könnte dir jetzt aufzählen, welche Plugins du am Laufen hast. Ich müsste mir nur mühsam den Plugin-Namen zur Plugin_ID suchen.
Ich sehe die plugin_id vom Videoboard und von Olafs Countdownzähler. Das dritte und vierte PI habe ich gefunden aber das fünfte kann ich im Store nicht finden. Das ist vielleicht privat.

Ich sehe das als Bug im Plugin-System.

Da kann Olaf, das Fox und ale anderen Plugin Schreiber nichts für.

---

Ziemlich krass, was TripleM da herausgefunden hat.
Ziemlich krass auch, was Edeltraud berichtet, obwohl mich das mittlerweile nicht mehr wundert.

Wer auch nur elementarste html-Kenntnisse hat und lesen kann, kann als Gast ohne jegliche Leserechte übers Hintertürchen des Quellcodes ALLES frei lesen, was in den Plugins an privaten Texten eingegeben ist.
Und dafür braucht dieser Gast noch nicht einmal ein Hacker zu sein.

Dabei ist zu bedenken, dass auch Suchmaschinen und Bots zur Benutzergruppe der Gäste gehören!
Ganz schön krass ist das.

Dieser Bugfix hat meines Erachtens oberste Priorität!

Du hast Recht, Mike48, deine Formulierung für den Titel dieses Threads ist besser.

Ich hab das nicht so gut ausgedrückt wie du.

Vielleicht wäre ein Admin so freundlich, das nachzueditieren. Ich habs' hier in diesem Beitrag bereits getan.

Zitat von Mike48 im Beitrag #5

---

Die Frage ist, ob es nötig ist alle Config-Vars immer in den Quellcode beim Client zu laden.

---

Ja, du magst ja Recht haben, aber ich tu mir
tatsächlich schwer mit der Würze der Kürze.
Du kannst das viel besser als ich.
Wahrscheinlich ist jetzt auch schon alles gesagt,
was gesagt werden musste.

Zitat von Johannes im Beitrag #9

---

Persönliche/Sensible Daten gehören nicht in die Konfiguration eines Plugins, da es eben auch keine einstellbaren Leserechte für diese Konfigurationsvariabeln gibt.

---

Ja, ist mir schon klar, Räuberpapa!
So mach ich's ja auch.
Das sollte aber nur ein vorübergehender Notbehelf sein,
sonst wäre es jammerschade um die vielen schönen Plugins,
die dann nur noch eingeschränkt genutzt werden können.