contao/import — Issue #3418: Schwachstelle "Files-Verzeichnis"
Author: aschempp
Created: 2011-11-29 21:31:22+00:00
State: open
Labels: Defect, framework

Ich musste soeben auf einem Kundensystem einen Fehler in einer Erweiterung suchen, bei der ich keinen FTP Zugang hatte. Trotzdem war es mir möglich, die Dateien zu bearbeiten (ich war Backend Admin).

System => Einstellungen
"Files-Verzeichnis" geändert auf "system/modules"
Bei "Editierbare Dateien" die Erweiterung "php" hinzugefügt

Dadurch entsteht Vollzugriff auf alle Dateien. Auf dem gleichen Weg kann zum Beispiel auch die localconfig.php und damit FTP und DB-Zugangsdaten ausgelesen werden, welche sonst nicht nur über's Backend verfügbar sind.

Aus meiner Sicht sollte die Einstellung "Files-Verzeichnis" nicht in der Systemkonfiguration erscheinen, es macht nur sehr begrenzt Sinn dies überhaupt zu ändern, und wenn dann einmalig bei Installation bzw. wenn man weis was man tut.

--- _Originally created on August 29th, 2011, at 11:23pm (ID 3418)_