clemensandClaude Opus 5
3b08be899c
Die Pruefung war auskommentiert, Reset-Links galten damit unbegrenzt, obwohl die E-Mail "innerhalb der naechsten 24 Stunden" verspricht. Sie wird jetzt in SQL ausgewertet statt mit strtotime()/time(): passwortcode_time wird in passwortvergessen.php mit NOW() gesetzt, also mit der Uhr des DB-Servers (Europe/Berlin), waehrend der Webserver in UTC laeuft. Eine Pruefung in PHP waere um diese zwei Stunden falsch - dieselbe Ursache, die schon die 2FA-Codes unbrauchbar gemacht hat. So benutzen Setzen und Pruefen dieselbe Uhr. Ausserdem: fetch() liefert false und nicht null, wenn kein Benutzer gefunden wird. Die Bedingung $user === null hat deshalb nie gegriffen, und der Code lief mit false weiter in den Array-Zugriff. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
100 lines
3.3 KiB
PHP
100 lines
3.3 KiB
PHP
<?php
|
|
session_start();
|
|
require_once(__DIR__ . "/../inc/config.inc.php");
|
|
require_once(__DIR__ . "/../inc/functions.inc.php");
|
|
|
|
if(!isset($_GET['userid']) || !isset($_GET['code'])) {
|
|
error("Leider wurde beim Aufruf dieser Website kein Code zum Zurücksetzen deines Passworts übermittelt");
|
|
}
|
|
|
|
|
|
|
|
$showForm = true;
|
|
$userid = $_GET['userid'];
|
|
$code = $_GET['code'];
|
|
|
|
//Abfrage des Nutzers.
|
|
//Die Gueltigkeit des Codes wird bewusst in SQL geprueft: passwortcode_time wird
|
|
//in passwortvergessen.php mit NOW() gesetzt, also mit der Uhr des DB-Servers.
|
|
//Der Webserver laeuft in UTC, der DB-Server in Europe/Berlin - eine Pruefung mit
|
|
//PHPs strtotime()/time() waere um genau diese Differenz falsch. So benutzen
|
|
//Setzen und Pruefen dieselbe Uhr, unabhaengig von den Zeitzonen beider Server.
|
|
$statement = $pdo->prepare("
|
|
SELECT *,
|
|
(passwortcode_time IS NOT NULL
|
|
AND passwortcode_time > DATE_SUB(NOW(), INTERVAL 24 HOUR)) AS code_noch_gueltig
|
|
FROM intern_users
|
|
WHERE id = :userid
|
|
");
|
|
$result = $statement->execute(array('userid' => $userid));
|
|
$user = $statement->fetch();
|
|
|
|
//Überprüfe dass ein Nutzer gefunden wurde und dieser auch ein Passwortcode hat
|
|
//(fetch() liefert false, nicht null, wenn es keinen Treffer gibt)
|
|
if(!$user || $user['passwortcode'] === null) {
|
|
error("Der Benutzer wurde nicht gefunden oder hat kein neues Passwort angefordert.");
|
|
}
|
|
|
|
if(!$user['code_noch_gueltig']) {
|
|
error("Dein Code ist leider abgelaufen. Bitte benutze die Passwort vergessen Funktion erneut.");
|
|
}
|
|
|
|
|
|
//Überprüfe den Passwortcode
|
|
if(hash('xxh128', $code) != $user['passwortcode']) {
|
|
error("Der übergebene Code war ungültig. Stell sicher, dass du den genauen Link in der URL aufgerufen hast. Solltest du mehrmals die Passwort-vergessen Funktion genutzt haben, so ruf den Link in der neuesten E-Mail auf.");
|
|
}
|
|
|
|
//Der Code war korrekt, der Nutzer darf ein neues Passwort eingeben
|
|
|
|
if(isset($_GET['send'])) {
|
|
$passwort = $_POST['passwort'];
|
|
$passwort2 = $_POST['passwort2'];
|
|
|
|
if($passwort != $passwort2) {
|
|
$msg = "Bitte identische Passwörter eingeben";
|
|
} else { //Speichere neues Passwort und lösche den Code
|
|
$passworthash = password_hash($passwort, PASSWORD_DEFAULT);
|
|
$statement = $pdo->prepare("UPDATE intern_users SET passwort = :passworthash, passwortcode = NULL, passwortcode_time = NULL WHERE id = :userid");
|
|
$result = $statement->execute(array('passworthash' => $passworthash, 'userid'=> $userid ));
|
|
|
|
if($result) {
|
|
$msg = "Dein Passwort wurde erfolgreich geändert";
|
|
$showForm = false;
|
|
}
|
|
}
|
|
}
|
|
|
|
include("templates/header.inc.php");
|
|
?>
|
|
|
|
<div class="container small-container-500">
|
|
|
|
<h1>Neues Passwort vergeben</h1>
|
|
<?php
|
|
if(isset($msg)) {
|
|
echo $msg;
|
|
}
|
|
|
|
if($showForm):
|
|
?>
|
|
|
|
<form action="?send=1&userid=<?php echo htmlentities($userid); ?>&code=<?php echo htmlentities($code); ?>" method="post">
|
|
<label for="passwort">Bitte gib ein neues Passwort ein:</label><br>
|
|
<input type="password" id="passwort" name="passwort" class="form-control" required><br>
|
|
|
|
<label for="passwort2">Passwort erneut eingeben:</label><br>
|
|
<input type="password" id="passwort2" name="passwort2" class="form-control" required><br>
|
|
|
|
<input type="submit" value="Passwort speichern" class="btn btn-lg btn-primary btn-block">
|
|
</form>
|
|
<?php
|
|
endif;
|
|
?>
|
|
|
|
</div> <!-- /container -->
|
|
|
|
|
|
<?php
|
|
include("templates/footer.inc.php")
|
|
?>
|