From 3b08be899c90cd0bac70922169f039b9116a47c0 Mon Sep 17 00:00:00 2001 From: Clemens Creutzburg Date: Wed, 2 Sep 2026 20:36:02 +0200 Subject: [PATCH] Ablaufpruefung fuer Passwort-Reset-Codes wieder aktiviert Die Pruefung war auskommentiert, Reset-Links galten damit unbegrenzt, obwohl die E-Mail "innerhalb der naechsten 24 Stunden" verspricht. Sie wird jetzt in SQL ausgewertet statt mit strtotime()/time(): passwortcode_time wird in passwortvergessen.php mit NOW() gesetzt, also mit der Uhr des DB-Servers (Europe/Berlin), waehrend der Webserver in UTC laeuft. Eine Pruefung in PHP waere um diese zwei Stunden falsch - dieselbe Ursache, die schon die 2FA-Codes unbrauchbar gemacht hat. So benutzen Setzen und Pruefen dieselbe Uhr. Ausserdem: fetch() liefert false und nicht null, wenn kein Benutzer gefunden wird. Die Bedingung $user === null hat deshalb nie gegriffen, und der Code lief mit false weiter in den Array-Zugriff. Co-Authored-By: Claude Opus 5 --- intern/passwortzuruecksetzen.php | 24 ++++++++++++++++++------ 1 file changed, 18 insertions(+), 6 deletions(-) diff --git a/intern/passwortzuruecksetzen.php b/intern/passwortzuruecksetzen.php index ef1c584..ca78907 100644 --- a/intern/passwortzuruecksetzen.php +++ b/intern/passwortzuruecksetzen.php @@ -13,19 +13,31 @@ $showForm = true; $userid = $_GET['userid']; $code = $_GET['code']; -//Abfrage des Nutzers -$statement = $pdo->prepare("SELECT * FROM intern_users WHERE id = :userid"); +//Abfrage des Nutzers. +//Die Gueltigkeit des Codes wird bewusst in SQL geprueft: passwortcode_time wird +//in passwortvergessen.php mit NOW() gesetzt, also mit der Uhr des DB-Servers. +//Der Webserver laeuft in UTC, der DB-Server in Europe/Berlin - eine Pruefung mit +//PHPs strtotime()/time() waere um genau diese Differenz falsch. So benutzen +//Setzen und Pruefen dieselbe Uhr, unabhaengig von den Zeitzonen beider Server. +$statement = $pdo->prepare(" + SELECT *, + (passwortcode_time IS NOT NULL + AND passwortcode_time > DATE_SUB(NOW(), INTERVAL 24 HOUR)) AS code_noch_gueltig + FROM intern_users + WHERE id = :userid +"); $result = $statement->execute(array('userid' => $userid)); $user = $statement->fetch(); //Überprüfe dass ein Nutzer gefunden wurde und dieser auch ein Passwortcode hat -if($user === null || $user['passwortcode'] === null) { +//(fetch() liefert false, nicht null, wenn es keinen Treffer gibt) +if(!$user || $user['passwortcode'] === null) { error("Der Benutzer wurde nicht gefunden oder hat kein neues Passwort angefordert."); } -#if($user['passwortcode_time'] === null || strtotime($user['passwortcode_time']) < (time()-24*3600) ) { -# error("Dein Code ist leider abgelaufen. Bitte benutze die Passwort vergessen Funktion erneut."); -#} +if(!$user['code_noch_gueltig']) { + error("Dein Code ist leider abgelaufen. Bitte benutze die Passwort vergessen Funktion erneut."); +} //Überprüfe den Passwortcode