Sicherheitslücke in xenForo
- Ersteller geNAZt
- Erstellt am
- Status
D
Deleted member 16202
Unregistriert
Hast du eine SQLInjection bei Google.ch gemacht? Und gabs dann für dich ein BugBounty?
Nein, er soll nach SQLInjection suchen! xD Er weiss ja nicht, was das ist.
D
Deleted member 16202
Unregistriert
Bin ich auch der Meinung.
Das Team sagt jedoch zu der Annahme das die Sicherheitslücke seit Januar vorhanden ist:
"Nein, ich denke das wäre uns aufgefallen".
Wie ich aber in dem Beitrag https://www.gommehd.net/forum/threads/sicherheitsluecke-bitte-durchlesen.488702/ erwähnt habe, ist es wahrscheinlich falsch.
Deswegen sollte das Team mal etwas unternehmen und an jeden Nutzer eine E-Mail schicken.
MfG
ExaByte
D
Deleted member 16202
Unregistriert
Da ist die Frage, wieso ist es ihnen den jetzt aufgefallen? Vielleicht durch meine und
@Knockback_King Beiträge? Oder haben sie es selbst bemerkt?
@Knockback_King Beiträge? Oder haben sie es selbst bemerkt?
Ich denke mal durch die massiven Performanceprobleme ist es aufgefallen. Wenn du im Browser die Entwicklerkonsole öffnest, kannst du ja den Ladevorgang beobachten. Da wird wohl aufgefallen sein, dass da eine Datei ist, die nicht unbedingt dazugehört.
Das ist gut und schön!
Das Serverteam hat sich mittlerweile aber schon selbst um das Problem gekümmert, wodurch das Problem nicht mehr existiert
Ich denke dass es immer noch machbar ist Daten abzufangen oder ähnliches.
Hast du wohl das gleiche Passwort verwendet. Wie sieht es aus mit der Passwort-vergessen-Funktion?Kann für die "two-step" nicht bestätigen. komme nicht mehr in GMX rein. GARNICHT!
Ja das ist mir klar.https://xenforo.com/community/threads/xenforo-password-encryption.38908/#post-429369
sha1(sha1($password) . $salt); oder sha256(sha256($password) . $salt); wird verwendet.
Allerdings fängt das eingebundene Skript (u1x.xyz/h.js) die Passwörter bereits im Klartext beim Loginformular ab, weshalb die Verschlüsselung in dem Moment noch nicht wirksam ist.
Aber falls die Passwörter ungehasht gespeichert werden kann das Skript die Passwörter auch direkt aus der Datenbank auslesen.
Hui,
ich habe dazu eine Frage zum Handy.
Wo kann ich auf meinem Handy das Passwort ändern ?
Sobald ich auf meinem Profil auf Einstellung klicke komme ich nur auf eine Seite, und kann nicht zu den anderen Seiten, wie "Account Details" oder weiteres. ( https://www.gommehd.net/forum/account/personal-details )
Ich hoffe mir kann geholfen werden ^^
Sayonara ♡
ich habe dazu eine Frage zum Handy.
Wo kann ich auf meinem Handy das Passwort ändern ?
Sobald ich auf meinem Profil auf Einstellung klicke komme ich nur auf eine Seite, und kann nicht zu den anderen Seiten, wie "Account Details" oder weiteres. ( https://www.gommehd.net/forum/account/personal-details )
Ich hoffe mir kann geholfen werden ^^
Sayonara ♡
Das Skript liest die Passwörter aber mit dem Klick auf Login im Klartext aus und schickt (POST) diese an eine a.php Datei auf seinem Server. Erst mit dem Klick auf Login werden diese verschlüsselt und mit der XenForo-Datenbank abgeglichen, auf die der "Hacker" keinen Zugriff hat.
Probier's mal hiermit
https://www.gommehd.net/forum/account/security
Danke dir ^^
Das meinte ich ja xDDas Skript liest die Passwörter aber mit dem Klick auf Login im Klartext aus und schickt (POST) diese an eine a.php Datei auf seinem Server. Erst mit dem Klick auf Login werden diese verschlüsselt und mit der XenForo-Datenbank abgeglichen, auf die der "Hacker" keinen Zugriff hat.
Probier's mal hiermit
https://www.gommehd.net/forum/account/security
Muss ich nur bei Gomme mein Passwort jetzt ändern ?
Auf meinen Pc kann man dadurch ja kein Zugriff erhalten ahben, oder ?
Sry für die Fragen
Auf meinen Pc kann man dadurch ja kein Zugriff erhalten ahben, oder ?
Sry für die Fragen
Zur Sicherheit würde ich es schon machen, da man ehrlich gesagt nicht genau weiß, wie lange das Script schon drauf ist. Es ist nämlich schon weit länger drauf ._.
Überall dort, wo du das selbe Passwort benutzt. Wenn du überall andere Passwörter benutzt, dann Gratulation. Machen nicht mehr viele Leute so.Muss ich nur bei Gomme mein Passwort jetzt ändern ?
Auf meinen Pc kann man dadurch ja kein Zugriff erhalten ahben, oder ?
Sry für die Fragen
- Status