From 6d903ac4fc7fe5d8bbcd678a930b7cb55530e7af Mon Sep 17 00:00:00 2001
From: Clemens Creutzburg <creutzburg@ctb-it.de>
Date: Thu, 3 Sep 2026 15:16:40 +0200
Subject: [PATCH] CSRF-Schutz auf intern/ ausweiten und BOMs entfernen

intern/ enthaelt dieselben Patientendaten wie der Adminbereich und war
bisher genauso ungeschuetzt. config.inc.php aktiviert den Token-Filter
jetzt fuer beide Verzeichnisse. Eigenen AJAX-Code oder Nicht-HTML-Ausgaben
gibt es dort nicht, die Umstellung betrifft nur Formulare.

intern/login.php rief nach dem Include ein zweites session_start() auf und
setzte danach session.gc_maxlifetime und session.cookie_lifetime per
ini_set(). Beides lief ins Leere, weil die Sitzung zu dem Zeitpunkt schon
laeuft, und erzeugte Warnungen. Die Lebensdauer kommt aus
session_set_cookie_params() in config.inc.php.

13 Dateien begannen mit einem UTF-8-BOM. Die drei Bytes gehen vor dem
Include raus, womit die Header gesendet sind und
session_set_cookie_params() sowie session_start() in config.inc.php
scheitern - genau die Flags, um die es hier geht. Sichtbar wird das nur
ohne output_buffering, aber darauf sollte sich die Sitzungssicherheit
nicht verlassen.

Nachgeprueft mit output_buffering=0 und error_reporting=E_ALL: admin/ und
intern/ melden keine Header- oder Sessionwarnungen mehr, POSTs ohne Token
liefern 403, mit Token laufen sie durch.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
---
 admin/anfragen.php                      |  2 +-
 admin/impfworkflow.php                  |  2 +-
 admin/impfworkflow_event_create.php     |  2 +-
 admin/impfworkflow_event_teilnehmer.php |  2 +-
 admin/impfworkflow_stammdaten.php       |  2 +-
 admin/impfworkflow_teilnehmer.php       |  2 +-
 admin/templates/header.inc.php          |  2 +-
 grippeimpfbestaetigung.php              |  2 +-
 grippeimpfwarteliste.php                |  2 +-
 impfanmeldung.php                       |  2 +-
 impfwarteliste.php                      |  2 +-
 impfwartelistekinder.php                |  2 +-
 inc/config.inc.php                      | 28 +++++++++++++++++--------
 inc/security.inc.php                    |  2 +-
 inc/suchepatient.php                    |  2 +-
 intern/login.php                        |  8 ++++---
 16 files changed, 38 insertions(+), 26 deletions(-)

diff --git a/admin/anfragen.php b/admin/anfragen.php
index 7dc1825..53aef17 100644
--- a/admin/anfragen.php
+++ b/admin/anfragen.php
@@ -1,4 +1,4 @@
-<?php
+<?php
 
 // WICHTIG: Pfade aus /admin heraus korrekt auflösen
 require_once __DIR__ . "/../inc/config.inc.php";
diff --git a/admin/impfworkflow.php b/admin/impfworkflow.php
index c443a1d..ad41d74 100644
--- a/admin/impfworkflow.php
+++ b/admin/impfworkflow.php
@@ -1,4 +1,4 @@
-<?php
+<?php
 
 require_once __DIR__ . "/../inc/config.inc.php";
 require_once __DIR__ . "/../inc/functions.inc.php";
diff --git a/admin/impfworkflow_event_create.php b/admin/impfworkflow_event_create.php
index 71798cc..bf73181 100644
--- a/admin/impfworkflow_event_create.php
+++ b/admin/impfworkflow_event_create.php
@@ -1,3 +1,3 @@
-<?php
+<?php
 $_GET['view'] = 'event-create';
 require_once __DIR__ . '/impfworkflow.php';
diff --git a/admin/impfworkflow_event_teilnehmer.php b/admin/impfworkflow_event_teilnehmer.php
index 6e61942..66077f1 100644
--- a/admin/impfworkflow_event_teilnehmer.php
+++ b/admin/impfworkflow_event_teilnehmer.php
@@ -1,3 +1,3 @@
-<?php
+<?php
 $_GET['view'] = 'event-teilnehmer';
 require_once __DIR__ . '/impfworkflow.php';
diff --git a/admin/impfworkflow_stammdaten.php b/admin/impfworkflow_stammdaten.php
index 196ac74..c6b185b 100644
--- a/admin/impfworkflow_stammdaten.php
+++ b/admin/impfworkflow_stammdaten.php
@@ -1,4 +1,4 @@
-<?php
+<?php
 
 require_once __DIR__ . "/../inc/config.inc.php";
 require_once __DIR__ . "/../inc/functions.inc.php";
diff --git a/admin/impfworkflow_teilnehmer.php b/admin/impfworkflow_teilnehmer.php
index 3ba4cb1..86b2a38 100644
--- a/admin/impfworkflow_teilnehmer.php
+++ b/admin/impfworkflow_teilnehmer.php
@@ -1,3 +1,3 @@
-<?php
+<?php
 $_GET['view'] = 'teilnehmer';
 require_once __DIR__ . '/impfworkflow.php';
diff --git a/admin/templates/header.inc.php b/admin/templates/header.inc.php
index b6032e6..f6d3745 100644
--- a/admin/templates/header.inc.php
+++ b/admin/templates/header.inc.php
@@ -1,4 +1,4 @@
-<!DOCTYPE html>
+<!DOCTYPE html>
 <html lang="de">
   <head>
     <meta charset="utf-8">
diff --git a/grippeimpfbestaetigung.php b/grippeimpfbestaetigung.php
index 42399f8..52a2981 100644
--- a/grippeimpfbestaetigung.php
+++ b/grippeimpfbestaetigung.php
@@ -1,2 +1,2 @@
-<?php
+<?php
 require_once __DIR__ . '/impfbestaetigung.php';
diff --git a/grippeimpfwarteliste.php b/grippeimpfwarteliste.php
index 8da8d06..9469514 100644
--- a/grippeimpfwarteliste.php
+++ b/grippeimpfwarteliste.php
@@ -1,2 +1,2 @@
-<?php
+<?php
 require_once __DIR__ . '/impfwarteliste.php';
diff --git a/impfanmeldung.php b/impfanmeldung.php
index 8da8d06..9469514 100644
--- a/impfanmeldung.php
+++ b/impfanmeldung.php
@@ -1,2 +1,2 @@
-<?php
+<?php
 require_once __DIR__ . '/impfwarteliste.php';
diff --git a/impfwarteliste.php b/impfwarteliste.php
index 7ecb77f..852a8fc 100644
--- a/impfwarteliste.php
+++ b/impfwarteliste.php
@@ -1,4 +1,4 @@
-<!DOCTYPE HTML>
+<!DOCTYPE HTML>
 <!--
 	Alpha by HTML5 UP
 	html5up.net | @n33co
diff --git a/impfwartelistekinder.php b/impfwartelistekinder.php
index 8da8d06..9469514 100644
--- a/impfwartelistekinder.php
+++ b/impfwartelistekinder.php
@@ -1,2 +1,2 @@
-<?php
+<?php
 require_once __DIR__ . '/impfwarteliste.php';
diff --git a/inc/config.inc.php b/inc/config.inc.php
index dbbc7ff..32ec2db 100644
--- a/inc/config.inc.php
+++ b/inc/config.inc.php
@@ -85,13 +85,23 @@ if (session_status() !== PHP_SESSION_ACTIVE) {
     session_start();
 }
 
-// CSRF-Schutz im Adminbereich: Token in jedes POST-Formular einsetzen und
-// eingehende POSTs pruefen. Muss nach session_start() und vor jeder
-// Ausgabe der Seite laufen.
-$adminVerzeichnis = realpath(__DIR__ . '/../admin');
-$laufendesSkript  = realpath($_SERVER['SCRIPT_FILENAME'] ?? '');
-if ($adminVerzeichnis !== false && $laufendesSkript !== false
-    && strncmp($laufendesSkript, $adminVerzeichnis . DIRECTORY_SEPARATOR, strlen($adminVerzeichnis) + 1) === 0) {
-    csrf_autoinject();
-    csrf_require();
+// CSRF-Schutz fuer die angemeldeten Bereiche: Token in jedes POST-Formular
+// einsetzen und eingehende POSTs pruefen. Muss nach session_start() und vor
+// jeder Ausgabe der Seite laufen. Der oeffentliche Bereich bleibt aussen vor,
+// dort gibt es keine Sitzung, die missbraucht werden koennte.
+$geschuetzteBereiche = [
+    realpath(__DIR__ . '/../admin'),
+    realpath(__DIR__ . '/../intern'),
+];
+$laufendesSkript = realpath($_SERVER['SCRIPT_FILENAME'] ?? '');
+
+foreach ($geschuetzteBereiche as $verzeichnis) {
+    if ($verzeichnis === false || $laufendesSkript === false) {
+        continue;
+    }
+    if (strncmp($laufendesSkript, $verzeichnis . DIRECTORY_SEPARATOR, strlen($verzeichnis) + 1) === 0) {
+        csrf_autoinject();
+        csrf_require();
+        break;
+    }
 }
diff --git a/inc/security.inc.php b/inc/security.inc.php
index 55f0ac7..a835e26 100644
--- a/inc/security.inc.php
+++ b/inc/security.inc.php
@@ -75,7 +75,7 @@ function csrf_require(): void
     echo '<h3>Die Anfrage wurde abgelehnt.</h3>';
     echo 'Das Sicherheitstoken war ungültig oder die Sitzung ist abgelaufen.<br>';
     echo 'Bitte die Seite neu laden und den Vorgang wiederholen.<br><br>';
-    echo '<a href="index.php">Zurück zum Adminbereich</a>';
+    echo '<a href="index.php">Zurück zur Übersicht</a>';
     exit;
 }
 
diff --git a/inc/suchepatient.php b/inc/suchepatient.php
index c3f1bfa..38c3a6c 100644
--- a/inc/suchepatient.php
+++ b/inc/suchepatient.php
@@ -1,4 +1,4 @@
-<?php
+<?php
 /**
  * @package		Patientsuche
  * @copyright	Copyright (C) 2021 ctb-it.de Inc. All rights reserved.
diff --git a/intern/login.php b/intern/login.php
index 47dfb93..ecd5cd7 100644
--- a/intern/login.php
+++ b/intern/login.php
@@ -7,10 +7,12 @@
 ob_start(); 
 require_once(__DIR__ . "/../inc/config.inc.php");
 require_once(__DIR__ . "/../inc/functions.inc.php");
-session_start();
 
-ini_set('session.gc_maxlifetime', 30*24*60*60); //  30 Tage
-ini_set('session.cookie_lifetime', 30*24*60*60); // 30 Tage
+// Hinweis: hier standen zwei ini_set() auf session.gc_maxlifetime und
+// session.cookie_lifetime. Beide liefen ins Leere, weil die Sitzung zu
+// diesem Zeitpunkt schon laeuft - PHP ignoriert Session-Einstellungen
+// dann und meldet eine Warnung. Die Lebensdauer des Cookies kommt aus
+// session_set_cookie_params() in inc/config.inc.php (30 Tage).
 include(__DIR__ . "/../inc/password.inc.php");
 
 $error_msg = "";