Headerschmerzen
Ratet mal wo die Daten dieser Hidden-Inputbox landen…
-
<input type="hidden" name="NachrichtenHeader" value="From:XXX@XXX.de">
Genau dort wo man Sie niemals hintun sollte:
- Mittem in der Mail, als Header natürlich
- Ohne Prüfung (das JavaScript Zeuchs zählt nicht als Prüfung)
- Ohne Skrupel
Jeder Spamm-Trottel kann die Information ändern / erweitern und so seine NKL/SKL Viagra Werbung verschicken. Siehe : Header-Injection
Alternativ dazu – alles schon gefunden auf irgendwelchen Kunden-Websiten:
Ok, muss zugeben hab auch mal n SQL-Injection XSS anfälliges “Dings” gebaut
- lag daran weil es “gestern fertig sein muss“.
Ich frag mich wie viel Technischen Mist man in der Werbebranche bauen kann bis jemand meint dass die Funktionalität / Sicherheit so unzureichend ist.
Solange es schön ausschaut ist es Gold wert. Funktionalität ist nur dann gut wenn man so Wörter wie “Variationsgruppen Variationen Aufpreis Steuerung” einbauen kann…
