Das kommt darauf an ob du für beide das selbe Passwort verwendest, wenn ja dann würde ich auch beim MC Acc das PW ändern
Sicherheitslücke in xenForo
- Ersteller geNAZt
- Erstellt am
- Status
Ich würde an deiner Stelle es trotzdem machen, man kann nie vorsichtig genug sein
Ok, sicher ist sicher xdIch würde an deiner Stelle es trotzdem machen, man kann nie vorsichtig genug sein
Hey,
erstmal Danke für die Info Man merkt, dass die User euch wichtig sind
Ich habe "Passwort sichern" auf einem iPad :/ Zählt es als einloggen oder nicht? Ich habe das Passwort ja nicht eingegeben, sondern es war schon eingespeichert und auch nicht von der Seite aus gespeichert... Natürlich werde ich meine Augen offen halten und schnellst möglich die Passwörter ändern, aber kann ich auch betroffen sein?
LG
erstmal Danke für die Info
Man merkt, dass die User euch wichtig sind Ich habe "Passwort sichern" auf einem iPad :/ Zählt es als einloggen oder nicht? Ich habe das Passwort ja nicht eingegeben, sondern es war schon eingespeichert und auch nicht von der Seite aus gespeichert... Natürlich werde ich meine Augen offen halten und schnellst möglich die Passwörter ändern, aber kann ich auch betroffen sein?
LG
Hierzu noch zwei follow ups:
Der Titel lautet ja "Sicherheitslücke in xenForo". Wurde denn xenForo über diese Sicherheitslücke informiert? Denn wenn man Code einschleusen kann, ist das doch ziemlich gravierend für alle Websiten die xenForo einsetzen. Und dann sollte schnell eine Security Patch ausgerollt werden.
Weiß man schon, wer die Angreifer waren? Plant ihr, Strafanzeige zu stellen (ggf. bereits erledigt)?
D
Deleted member 16202
Unregistriert
Also das Skript ist das einzige was ich gefunden habe. Ich hab es allerdings nicht auf der Startseite und auch nicht auf der Loginseite gefunden sondern nur im normalen Forenbereich, und ich glaube eigentlich nicht, dass ich es übersehen habe. Über die Datenbanken kann ich natürlich nichts sagen.
Bei dem Zeitraum bin ich mir nicht sicher, am 26. Januar gab es das anscheinend schonmal und damals ist keine Benachrichtigung rausgegangen.
Aber um sich hier richtig darüber zu unterhalten wird hier zu viel gespammt von allen, die sich beschweren ihr Passwort jetzt ändern zu müssen.
Strafanzeigen sind gegen intelligente Hacker glaube ich schwierig durchzubekommen. Ein Forenaccount von ihm in einem Hackerforum hab ich gefunden und zusätzlich besitzt die Seite ein SSL-Zertifikat. Allerdings bin ich mir nicht sicher, ob man da wirklich Klarnamen und Adressen angeben muss. Ich glaube eher nicht.
Was heißt hier Strafanzeige durchsetzen? Strafanzeige stellen, fertig. Staatsanwaltschaft und Polizei werden sich dann schon drum kümmern. Schließlich wurden hier Daten von Usern freigegeben. Ich hoffe mal nicht fahrlässig.
D
Deleted member 16202
Unregistriert
@geNAZt zählt das auch für dauerhaft eingeloggte Accounts?
Also wenn man das Passwort nicht eingeben musste?
Also wenn man das Passwort nicht eingeben musste?
Seine Domain ist anonym bei GoDaddy mit WHOIS-Protection reserviert. Nameserver liegen bei Cloudflare, SSL Zertifikat kommt ebenfalls von denen. Schätze den jetzt einfach mal so intelligent ein, dass der sich auch gleich noch nen Offshore Server besorgt hat. Von daher kannste da nichts machen^^
U
UOcv4zmSUUQqEfGL0reLAAuP
Unregistriert
Die die das gehackt haben, kriegen die eine Strafe oder eine Anzeige? Also wenn ihr wisst, wer das war?
Wer es schafft, durch eine wahrscheinlich minimale Sicherheitslücke einen Code einzuschleusen der ccounDaten absendet, der wird sich im Internet quasi Unsichtbar bewegen.
Anzeige kann man zwar stellen, aber es gäbe unzählige mögliche Täter.
2
2Ty-BmD4Mq-0FE5TGNtwuAly
Unregistriert
D
Deleted member 373199
Unregistriert
Dann empfehle ich dir ein Ticket zu schreiben
Sollten nicht am besten alle User mit einer E-Mail informiert werden? Ich meine, natürlich sind die Passwörter in der DB gehashed und abgefangene Session-IDs sollten eigentlich auch keine (gravierende) Sicherheitslücke (mehr) darstellen, aber wenn es offiziell jedem empfohlen wird sein Passwort zu ändern...?
- Status