clemensandClaude Opus 5
864218c1b8
Ergebnis der Durchsicht beider Bereiche (47 Dateien). Patientendaten ohne Anmeldung abrufbar -------------------------------------- admin/mailtemplate.php hatte keine Zugriffspruefung. Der Endpunkt liefert gerenderte Mailvorlagen und damit Vorname, Nachname, Geburtstag, Adresse, Medikamente, Anfragetext und den Anfragen-Link mit dem hash. Ein anonymer POST wurde bis in die Datenbank verarbeitet (geprueft mit ungueltiger templetid, es sind keine Daten geflossen). Jetzt check_admin_user() mit HTTP 401. Ausserdem ging die Exception-Meldung an den Aufrufer zurueck - sie geht jetzt ins Log. intern/meineanfragen.php filterte beim Detailaufruf ausschliesslich auf die anfrageid aus $_POST, ohne Bezug zum angemeldeten Benutzer - und setzte sie unmaskiert ins SQL. Jeder registrierte Patient konnte damit fremde Anfragen samt Geburtstag, Adresse und Telefonnummer lesen. Jetzt Prepared Statement und zusaetzlich an die E-Mail des angemeldeten Benutzers gebunden, wie in der Listenansicht derselben Datei. SQL-Injection ------------- admin/togoadmin.php: 14 Abfragen bauten $_GET/$_POST direkt in das SQL. Ganzzahlige Spalten bekommen einen (int)-Cast, damit die umgebenden mysqli-Schleifen unveraendert bleiben; alle INSERT- und UPDATE-Anweisungen mit Textwerten sind auf Prepared Statements umgestellt. create_time dort jetzt per NOW() statt PHP-date(). Ein abschliessender Scan ueber intern/, admin/ und zeiterfassung/ findet keine verkettete Nutzereingabe in SQL mehr. Zugriffspruefung ohne Wirkung ----------------------------- admin/anrufbeantworter.php und admin/kalender.php riefen check_admin_user() auf, werteten den Rueckgabewert aber nie aus. Die Funktion liefert bei fehlender Anmeldung nur null, sie bricht nicht ab - beide Seiten rendered fuer anonyme Besucher weiter. Daten flossen nicht ab, aber die Oberflaeche war sichtbar. Jetzt gleiches Muster wie admin/index.php. Tokens ohne Ablauf ------------------ Die Tabelle securitytokens hatte keine Ablaufspalte: ein erbeutetes Admin-Cookie galt unbegrenzt. Der Patientenbereich setzt 30 Tage. securitytokensHatAblaufspalte() prueft die Spalte zur Laufzeit, damit der Code vor und nach der Migration laeuft; admin/login.php setzt den Ablauf beim Anlegen, check_admin_user() beruecksichtigt ihn beim Lesen. Migration in admin/sql/. Die Cookie-Laufzeit war auf 365 Tage gesetzt und ist jetzt deckungsgleich mit dem Token. Entfernt -------- admin/phpinfo.php lieferte ohne Anmeldung 102 KB Serverkonfiguration. intern/admin.php, admin/admin.php sowie mailtemplatebody.php und mailtemplatebetreff.php in beiden Verzeichnissen waren tot (falscher relativer require-Pfad, HTTP 500) - die mailtemplate-Vorgaenger enthielten zudem rohe SQL-Injection mit Patientendaten. Keine der sechs Dateien wird irgendwo aufgerufen. admin/sql war als leere Datei statt als Verzeichnis angelegt. Kleinere Korrekturen -------------------- intern/authentifizierung.php und admin/passwortzuruecksetzen.php verglichen das Ergebnis von fetch() mit null statt false und pruefen den Ablauf des Codes jetzt in SQL statt mit strtotime()/time() - dieselbe Zeitzonenfalle wie bei den 2FA-Codes, hier in die harmlose Richtung. Ein toter password_hash()-Aufruf auf einer nie gesetzten Variablen ist entfallen. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
92 lines
3.1 KiB
PHP
92 lines
3.1 KiB
PHP
<?php
|
|
session_start();
|
|
require_once(__DIR__ . "/../inc/config.inc.php");
|
|
require_once(__DIR__ . "/../inc/functions.inc.php");
|
|
if(!isset($_GET['userid']) || !isset($_GET['code'])) {
|
|
error("Leider wurde beim Aufruf dieser Website kein Code zum Zurücksetzen deines Passworts übermittelt");
|
|
}
|
|
|
|
|
|
|
|
$showForm = true;
|
|
$userid = $_GET['userid'];
|
|
$code = $_GET['code'];
|
|
|
|
//Abfrage des Nutzers
|
|
$statement = $pdo->prepare("SELECT *, (passwortcode_time IS NOT NULL AND passwortcode_time > DATE_SUB(NOW(), INTERVAL 24 HOUR)) AS code_noch_gueltig FROM users WHERE id = :userid");
|
|
$result = $statement->execute(array('userid' => $userid));
|
|
$user = $statement->fetch();
|
|
|
|
//Überprüfe dass ein Nutzer gefunden wurde und dieser auch ein Passwortcode hat
|
|
// fetch() liefert false und nicht null, wenn kein Benutzer gefunden wird -
|
|
// die alte Bedingung griff daher nie und lief mit false in den Array-Zugriff.
|
|
if(!$user || $user['passwortcode'] === null) {
|
|
error("Der Benutzer wurde nicht gefunden oder hat kein neues Passwort angefordert.");
|
|
}
|
|
|
|
// Ablauf in SQL pruefen: passwortcode_time wird mit NOW() gesetzt (Uhr des
|
|
// DB-Servers), waehrend PHP auf dem Webserver in einer anderen Zeitzone
|
|
// laeuft. strtotime()/time() lag hier um genau diese Differenz daneben.
|
|
if(!$user['code_noch_gueltig']) {
|
|
error("Dein Code ist leider abgelaufen. Bitte benutze die Passwort vergessen Funktion erneut.");
|
|
}
|
|
|
|
|
|
//Überprüfe den Passwortcode
|
|
if(sha1($code) != $user['passwortcode']) {
|
|
error("Der übergebene Code war ungültig. Stell sicher, dass du den genauen Link in der URL aufgerufen hast. Solltest du mehrmals die Passwort-vergessen Funktion genutzt haben, so ruf den Link in der neuesten E-Mail auf.");
|
|
}
|
|
|
|
//Der Code war korrekt, der Nutzer darf ein neues Passwort eingeben
|
|
|
|
if(isset($_GET['send'])) {
|
|
$passwort = $_POST['passwort'];
|
|
$passwort2 = $_POST['passwort2'];
|
|
|
|
if($passwort != $passwort2) {
|
|
$msg = "Bitte identische Passwörter eingeben";
|
|
} else { //Speichere neues Passwort und lösche den Code
|
|
$passworthash = password_hash($passwort, PASSWORD_DEFAULT);
|
|
$statement = $pdo->prepare("UPDATE users SET passwort = :passworthash, passwortcode = NULL, passwortcode_time = NULL WHERE id = :userid");
|
|
$result = $statement->execute(array('passworthash' => $passworthash, 'userid'=> $userid ));
|
|
|
|
if($result) {
|
|
$msg = "Dein Passwort wurde erfolgreich geändert";
|
|
$showForm = false;
|
|
}
|
|
}
|
|
}
|
|
|
|
include("templates/header.inc.php");
|
|
?>
|
|
|
|
<div class="container small-container-500">
|
|
|
|
<h1>Neues Passwort vergeben</h1>
|
|
<?php
|
|
if(isset($msg)) {
|
|
echo $msg;
|
|
}
|
|
|
|
if($showForm):
|
|
?>
|
|
|
|
<form action="?send=1&userid=<?php echo htmlentities($userid); ?>&code=<?php echo htmlentities($code); ?>" method="post">
|
|
<label for="passwort">Bitte gib ein neues Passwort ein:</label><br>
|
|
<input type="password" id="passwort" name="passwort" class="form-control" required><br>
|
|
|
|
<label for="passwort2">Passwort erneut eingeben:</label><br>
|
|
<input type="password" id="passwort2" name="passwort2" class="form-control" required><br>
|
|
|
|
<input type="submit" value="Passwort speichern" class="btn btn-lg btn-primary btn-block">
|
|
</form>
|
|
<?php
|
|
endif;
|
|
?>
|
|
|
|
</div> <!-- /container -->
|
|
|
|
|
|
<?php
|
|
include("templates/footer.inc.php")
|
|
?>
|