contao/import — Issue #3240: Newsletter verifiziert Channels nicht
Author: importer
Created: 2011-11-29 21:09:59+00:00
State: open
Labels: Defect, newsletter

Aktuell ist es möglich, sich für Newsletter zu registrieren, die nicht für den Benutzer vorgesehen sind.

Steps zum reproduzieren (in der Demo):
- 2 Newsletterverteiler einrichten
- 1 Newslettermodul "Abonnieren" einstellen, mit einem Channel (z.B. den mit der ID 1), und im Frontend anzeigen lassen
- Frontend mit einem anderem Browser öffnen oder ausloggen
- Gültige E-Mail-Adresse angeben, den einen Channel anwählen und vor dem Absenden des Formulars mit Firebug die ID 1 von "channels[]" gegen die 2 austauschen. Oder Feld duplizieren (Originalfeld für ID 1 und Kopie für Feld 2)
- Im Backend nachsehen, wofür sich der Benutzer registriert hat -> Benutzer hat sich für einen Channel registriert, den er über das Frontend eigentlich nicht erreichen dürfte

Folge des Problems: Man kann keine Channels anlegen, die nur für bestimmte Nutzerkreise zugänglich sind, da diese infiltriert werden können (z.B.: per Bruteforce). Bei einer Überprüfung könnte man halt nur registrierten Usern noch ein weiteres Feld zum abonnieren anbieten, so dass nur die Chance haben einen bestimmten Newsletter zu erhalten.

Lösungsvorschlag:
- Newslettermodul überprüft, ob nur selektierbare Felder ausgewählt wurden
- Newsletterarchiv auf Benutzerkreise einschränkbar, also das Gäste sich z.B. gar nicht für einen Newsletter registrieren können. Vorteil: Man kann zentral sicherstellen, dass nur bestimmte Nutzerkreise einen Newsletter abonnieren können. Nachteil: Da es keine sichere Zuordnung zw. Benutzer und E-Mail-Adresse gibt, ist bei einer Änderung der Zugriffseinstellungen nicht sichergestellt, dass nur entsprechende Leute die bekommen. Deswegen wäre ich für Variante 1.

Wenn das Problem behoben wird, kann in dem Zuge Ticket #2533 mit abgerabeitet werden? Wäre Vorteilhaft, da die Überprüfung dann für beide Module gelten würde (bin mir gerade nicht sicher, ob man das Abbestellen-Modul nicht auch missbrauchen kann, um unberechtigen Zugang zu erhalten)

--- _Originally created by SunBlack on July 4th, 2011, at 04:45pm (ID 3240)_