Reg. User kann in Privaten Forum schreiben. Ist das möglich?

justalife · Beitrag von **justalife** » 16.02.2005 23:31

Nabend,
folgende seltsame Erscheinung hat sich zugetragen und ich möchte wissen ob das möglich ist bzw. was man dagegen machen kann:
phpbb 2.0.10

Ich habe allen Foren die Befügnis 'Privat [versteckt]' zugeteilt und nur einer Gruppe den Zugriff darauf gestattet. Nun hat es sich zugetragen, das ein User, ohne das er in der Gruppe war, in den privaten Bereich posten/lesen konnte.

Ist sowas auf normalem Weg möglich oder eine Sicherheitslücke? Weil bei anderen User war das nicht der Fall. Wie kann man sich dagegen schützen?

Danke

Beitrag von **Markus67** » 16.02.2005 23:43

Hi ...

woher weisst du dass er darin lesen konnte ?

Markus

justalife · Beitrag von **justalife** » 16.02.2005 23:47

weil er darin auch geschrieben hat (posten/lesen)

Beitrag von **Markus67** » 16.02.2005 23:57

Hi ...

Hast du schonmal in den Forenbefugnissen nachgesehen ob das Forum wirklich auch Privat steht.

Hast du beim User mal nachgesehen ob er wirklich nur ein "normaler" User ist ?

Markus

justalife · Beitrag von **justalife** » 17.02.2005 00:02

Ja ist es und ja ist er....

kann es daran liegen, dass ich die 2.0.10 nutze...ich werde morgen, oh, ist ja schon heute, updaten....aber warum dann nur bei dem einem User, der das konnte...

Beitrag von **Markus67** » 17.02.2005 00:10

Hi ...

Update auf die 2.0.11 ist auf jeden Fall empfehlenswert, da eine Sicherheitslücke in der viewtopic entdeckt wurde die mit der neusten Version gefixt wird.
http://www.phpbb.de/viewtopic.php?t=70853

Markus

Loewenherz · Beitrag von **Loewenherz** » 17.02.2005 09:04

justalife hat geschrieben:kann es daran liegen, dass ich die 2.0.10 nutze...

Nein - sofern es nicht an oben genannter Sicherheitslücke liegt. Aber mir erscheint unwahrscheinlich, dass dies jemand für ein simples Posting nutzen würde. Hast du auch einen Account als normaler registrierter User zum Testen? Oder vielleicht einen Fehler in der fortgeschrittenen Version der Rechtevergabe gemacht?

justalife · Beitrag von **justalife** » 17.02.2005 09:29

Ich hab das mal getestet. Das Problem ist, dass der frisch registrierte User gleich in die (geschlossene) Gruppe kommt ohne das er dort vom Gruppenleiter hinzugefügt werden muss...Das habe ich ja auch noch nie erlebt...

hm...ich muss dazu sagen, dass ich das Forum, da schon alle hacks drin waren, kopiert habe und nur ne neue DB angelgt habe...

Ich werde jetzt nochmal die Originalversion installieren, vielleicht lag es ja darn...

Beitrag von **Markus67** » 17.02.2005 09:37

Hi ...

welche MOD's hast du denn eingebaut ?

Markus

justalife · Beitrag von **justalife** » 17.02.2005 09:43

Farbgruppen und Custom Profiles Hack