clemensandClaude Opus 5
864218c1b8
Ergebnis der Durchsicht beider Bereiche (47 Dateien). Patientendaten ohne Anmeldung abrufbar -------------------------------------- admin/mailtemplate.php hatte keine Zugriffspruefung. Der Endpunkt liefert gerenderte Mailvorlagen und damit Vorname, Nachname, Geburtstag, Adresse, Medikamente, Anfragetext und den Anfragen-Link mit dem hash. Ein anonymer POST wurde bis in die Datenbank verarbeitet (geprueft mit ungueltiger templetid, es sind keine Daten geflossen). Jetzt check_admin_user() mit HTTP 401. Ausserdem ging die Exception-Meldung an den Aufrufer zurueck - sie geht jetzt ins Log. intern/meineanfragen.php filterte beim Detailaufruf ausschliesslich auf die anfrageid aus $_POST, ohne Bezug zum angemeldeten Benutzer - und setzte sie unmaskiert ins SQL. Jeder registrierte Patient konnte damit fremde Anfragen samt Geburtstag, Adresse und Telefonnummer lesen. Jetzt Prepared Statement und zusaetzlich an die E-Mail des angemeldeten Benutzers gebunden, wie in der Listenansicht derselben Datei. SQL-Injection ------------- admin/togoadmin.php: 14 Abfragen bauten $_GET/$_POST direkt in das SQL. Ganzzahlige Spalten bekommen einen (int)-Cast, damit die umgebenden mysqli-Schleifen unveraendert bleiben; alle INSERT- und UPDATE-Anweisungen mit Textwerten sind auf Prepared Statements umgestellt. create_time dort jetzt per NOW() statt PHP-date(). Ein abschliessender Scan ueber intern/, admin/ und zeiterfassung/ findet keine verkettete Nutzereingabe in SQL mehr. Zugriffspruefung ohne Wirkung ----------------------------- admin/anrufbeantworter.php und admin/kalender.php riefen check_admin_user() auf, werteten den Rueckgabewert aber nie aus. Die Funktion liefert bei fehlender Anmeldung nur null, sie bricht nicht ab - beide Seiten rendered fuer anonyme Besucher weiter. Daten flossen nicht ab, aber die Oberflaeche war sichtbar. Jetzt gleiches Muster wie admin/index.php. Tokens ohne Ablauf ------------------ Die Tabelle securitytokens hatte keine Ablaufspalte: ein erbeutetes Admin-Cookie galt unbegrenzt. Der Patientenbereich setzt 30 Tage. securitytokensHatAblaufspalte() prueft die Spalte zur Laufzeit, damit der Code vor und nach der Migration laeuft; admin/login.php setzt den Ablauf beim Anlegen, check_admin_user() beruecksichtigt ihn beim Lesen. Migration in admin/sql/. Die Cookie-Laufzeit war auf 365 Tage gesetzt und ist jetzt deckungsgleich mit dem Token. Entfernt -------- admin/phpinfo.php lieferte ohne Anmeldung 102 KB Serverkonfiguration. intern/admin.php, admin/admin.php sowie mailtemplatebody.php und mailtemplatebetreff.php in beiden Verzeichnissen waren tot (falscher relativer require-Pfad, HTTP 500) - die mailtemplate-Vorgaenger enthielten zudem rohe SQL-Injection mit Patientendaten. Keine der sechs Dateien wird irgendwo aufgerufen. admin/sql war als leere Datei statt als Verzeichnis angelegt. Kleinere Korrekturen -------------------- intern/authentifizierung.php und admin/passwortzuruecksetzen.php verglichen das Ergebnis von fetch() mit null statt false und pruefen den Ablauf des Codes jetzt in SQL statt mit strtotime()/time() - dieselbe Zeitzonenfalle wie bei den 2FA-Codes, hier in die harmlose Richtung. Ein toter password_hash()-Aufruf auf einer nie gesetzten Variablen ist entfallen. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
68 lines
1.8 KiB
PHP
68 lines
1.8 KiB
PHP
<?php
|
|
session_start();
|
|
require_once(__DIR__ . "/../inc/config.inc.php");
|
|
require_once(__DIR__ . "/../inc/functions.inc.php");
|
|
|
|
//Überprüfe, dass der User eingeloggt ist
|
|
//Der Aufruf von check_user() muss in alle internen Seiten eingebaut sein
|
|
$user = check_admin_user();
|
|
|
|
include("templates/header.inc.php");
|
|
|
|
// check_admin_user() liefert bei fehlender Anmeldung nur null zurueck und
|
|
// bricht nicht ab. Ohne diese Pruefung lief die Seite fuer anonyme
|
|
// Besucher weiter (und $user['vorname'] warf eine Warnung).
|
|
if (!$user) {
|
|
echo "<div class='container main-container'><h3>Erst anmelden: <a href=login.php>Login</a></h3><br></div>";
|
|
include("templates/footer.inc.php");
|
|
exit;
|
|
}
|
|
|
|
?>
|
|
<script src="/admin/js/tinymce/tinymce.min.js" referrerpolicy="origin"></script>
|
|
<div class="container main-container">
|
|
<?php
|
|
##test2
|
|
echo '<div style="float: right; width: 200px; ">';
|
|
echo "<form action='". $_SERVER['PHP_SELF'] . "' id='formbenutzersuche' method=POST>";
|
|
echo '<input type="hidden" name="aktion" value="benutzersuche" />';
|
|
echo '<input type="hidden" name="userid_input" id="userid_input" />';
|
|
echo '<label>Benutzersuche Anfragen:</label>
|
|
<input type="text" id="user_input" name="skill_input" width="48"/>';
|
|
//echo '<input type="submit" class="btn btn-primary" id="submitbox" value="" />';
|
|
echo "</form>";
|
|
echo '</div>';
|
|
?>
|
|
<h2>Administration - Anrufantworter</h2>
|
|
|
|
Hallo <?php echo htmlentities($user['vorname']); ?>,<br>
|
|
Herzlich Willkommen im internen Bereich!<br><br>
|
|
|
|
|
|
|
|
|
|
|
|
<?php
|
|
|
|
if(!check_worker()){
|
|
echo "Dieser Bereich ist nur für Bearbeiter freigeschaltet!<br><br><br>";
|
|
}else{
|
|
|
|
?>
|
|
|
|
|
|
|
|
<a href="file:///P:\Telefonanlage\telefonanlage.html" target="_blank">Übersicht der Anruf auf dem Anrufbeantworter</a>
|
|
|
|
|
|
|
|
|
|
|
|
</div>
|
|
|
|
<?php
|
|
}
|
|
|
|
include("templates/footer.inc.php")
|
|
?>
|