Sicherheitslücke??..Album smartor & pimp my album

[Wahnfried]

..hallo
eigentlich geht es ihr wohl um eine lücke in der berechtigung und zugriff nicht berechtigter auf die persönliche Galerie

ich habe das pimp my album incl.smartor eingebaut, und nur gruppen für das album berechtigt. auch habe ich im acp folgendes eingestellt...:
Persönliches Album für jeden Benutzer freigeben --privat
Wer kann sich die persönlichen Alben anschauen? Standart. --privat

heisst ersteinmal für mich, das keiner, ausser in zb. der gruppe Member angehörigen user, ein privates album erstellen darf.
und keiner der nicht in dieser gruppe ist, ein privates album "betrachten" darf.
geht man über den link im profil, kommt für einen user der registriert ist aber nicht einer gruppe angehört das gewünschte " Nicht berechtigt " . ist ja auch in ordnung, denn es soll ja nicht gezeigt werden.
geht er aber über den menuepunkt des albums "suchen" und gibt einen "member" ein, werden alle seine privaten bilder gelistet und angezeigt!

dass möchte ich eigentlich nicht, vielleicht ist es aber so gewollt, deshalb meine frage...

wäre schon wenn jemand etwas dazu sagen kann, denn das scheint für mich ein bug, denn so gibt es keine nach aussen gesicherte private galerie..
..ich denke am einfachsten wäre es wenn nicht berechtigten die suche auch nicht gegeben wird.... doch wie setzt man dieses um und wo?.....

vielen dank für eure bemühungen...

[Wahnfried]

..wollte mich noch mal in erinnerung zurückholen, denn ich halte das für eine sicherheitslücke..hat es mal jemand nachvollzogen..?
ist es egal, dass alle im forum sich private galerien anschen können, auch wenn sie eigentlich nicht berechtigt sind?

verbleibe mit der hoffnung auf info....

[wolfgangR]

Leider habe ich das gleiche Problem...
Die Bilder sollten nur einer bestimmten Gruppe zugänglich sein.
Wenn ein registrierter Benutzer (nicht Mitglied der Gruppe) über die Profile der User geht... bekommt er Zugriff auf alle Bilder.
Gibt es vielleicht eine Einstellung die das Verhindert ?
Ansonsten müsste man im Profil den Link entfernen, das wäre aber Schade.

Bild der Einstellungen

[wolfgangR]

Ich bin ein Stückchen weiter... aber nur ein kleines Stückchen

Es liegt wohl irgendwie am Anzeigemodus.
Wenn man aus einem Benutzerprofil ein Persönliches Album aufruft, heißt der Link: ..album.php?user_id1&mode=list
Dann wird das Album angezeigt...
lässt man &mode=list weg... dann wird, wie gewünscht, "Nicht Berechtigt" angezeigt. Ruft man die Galerie jedoch über Menüpunkt "Album" und geht ja dann über die "album_personal_index.php", wird wird genau das gemacht (ohne "&mode=list").

Da ich kein PHP-Held bin, traue ich mich nicht dort etwas zu ändern.

[Max]

Grundsätzlich und vorweg:

Support erfolgt nicht hier, sondern wo?
Genau, wer die Install gelesen hat, weiß es.

Dort wurde auch schon das, bzw ein vergleichbares (und sogar nachvollziehbares) Thema angesprochen und keine zwei Stunden später habe ich eine Lösung gepostet!

Ich könnte jetzt ja einen Link posten, aber das ist zu bequem, dann wird ja nie wieder einer mal anfangen, selber etwas zu tun......

[wolfgangR]

Danke Max, für den Hinweis...

ich werde mich Bessern

[Wahnfried]

..na danke für die nette antwort.