Große Sicherheitslücke bei Ariva!!!

Damals hatte ich schon das Glück eine recht lustige Sicherheitslücke im Board zu entdecken. Ich hatte einen Beitrag verlinkt, bei dem ich grad ein Einfügenfenster offen hatte und alle, die den Link angeklickt hatten waren erst Patznjeschniki und dann Lackilu (Thread)! :-) War recht lustig! (Posting 16, Das ganze Spektakel (unten))

So weit, so gut, aber eben ist mir etwas noch viel Krasseres passiert. Ich surf so durch Ariva und klick ein bisschen rum und auf ein Mal war ich PM!!!. Ohne Scheiß! Das war geil, 1oo Berwertungen konnte ich vergeben, Postings sperren, Threads schließen und und und! Aber hammerhart! q:-7 Achso, hat es eigenltich was zu sagen, wenn gewisse User rot markiert sind?

Das war mal wieder ein krasses Erlebnis. Könnt ihr ähnliches berichten?


patzi  

Guckst Du hier:
http://www.ariva.de/board/165442/...?backurl=board_talk.m&a=_talk&598
Beste Grüße vom Gesellen  

...müsste wohl mal überprüft werden :-(

bye, Paul.  

Hilfe, bin ich noch ich????
Beste Grüße vom Gesellen  

 

@Patzi:

Ich konnte das Posting, das Du ansprichst leider nicht finden. Hast Du mal eine Posting-Nr bzw. einen Link (ohne Session-ID :-))?

Generell können wir eigentlich nichts dagegen tun, wenn jemand eine Link postet, der eine Session-ID enthält. Die Session-ID ist halt das Geheimnis, mit den die ARIVA.DE-Server die Nutzer identifizieren. Sowie jemand auf so einen Link klickt, kennt sein Browser auch die Session-ID und verwendet sie weiter. Ich werde aber ein paar Sachen einbauen, die es ein wenig schwerer machen, dieses Geheimnis aus versehen "auszuplaudern". Ein Detail ist auch ein wenig unglücklich implementiert und kann evtl. geändert werden.

Dazu bräuchte ich aber noch einmal den Link, um mir das Posting genau anzusehen!

Aussderm habe ich vorhin alle Leute zwangsausgeloggt und alle vergebenen Session-IDs gelöscht.

bye, Paul.  

Das mit der Doppel-ID, dass alle Patznjeschniki waren, das war mal. Das hattet ihr damals schon behoben! Aber diesmal ging es nur darum, dass ich PM war und Macht hatte über alle! Ich bin auf der neuen Map rumgegeistert und hab dann etwas gesucht und als ich in das Posting rein bin war ich mit einem Mal PM! Den Link hab ich leider gelöscht, da ich, nachdem ich mich ausgeloggt hab, nicht wieder PM wurde. War aber mal krass.


patzi