Jeder kann Ordner löschen

Hallo.
Gestern war meine Contao-Homepage offline, hatte zum Glück ein Backup.
Habe nun in der Log-Datei gesehen, dass es GET-Anfragen der Art "/?action=delete&folder=system/modules/" gegeben hat.
Habe nun selbst getestet. Es ist tatsächlich so, dass jedermann mit solchen Anfragen den Server auffordern kann Ordner zu löschen. Wie ist das möglich?
Installierte Version ist 3.0.

Danke für die Hilfe

Nur zu Klarstellung...
Während man im Backend angemeldet ist?

Hat man nämlich entsprechende Rechte und ist angemeldet ist der Klick auf "löschen" nichts anders als ein solcher Aufruf.
Unangemeldet oder für Frontendbesucher sollte das nicht möglich sein?

Ja, ohne Anmeldung.
In der index.php im Wurzelverzeichnis steht:
if($_GET["action"] == "delete")
{
$folderToDelete = urldecode($_GET["folder"]);
deleteDir($folderToDelete);
}

Ist dies bei allen Contao-Installationen so?

Ganz sicher nicht :)

Lade dir am besten aus dem aktuellen Contaopaket eine neue index.php, ändere deinen FTP Zugang und überprüfe die Installation auf weitere "Hacks"

außerdem am besten mal den Contao Check durchführen.

Vielen Dank.
Habe die Originale index.php mit meiner index.phph verglichen. Da hat tatsächlich jemand diese Zeilen eingefügt.
Problem gelöst.

Naja..ich würde das noch nicht als gelöst betrachten. Wie konnte das passieren? Unbedingt FTP Zugangsdaten ändern.

Ich würde auch die IP-Adresse(n) überprüfen, von der/denen diese Anfragen abgesetzt wurden. Falls Webseite(n), heißt das nicht unbedingt, ein Angriff wurde von deren Betreiber(n) durchgeführt. Ebensogut kann eine solche Webseite auch selbst kompromittiert sein. Den eigenen und fremden Hoster über den Vorfall informieren.

Allein durch Wiederherstellung aus der Sicherung und Änderung des FTP-Accounts ist auch noch nicht endgültig sichergestellt, dass wieder alles ok ist. Die Modifikation der index.php muss ja nicht unbedingt die Ursache sein, sondern vllt. nur die Auswirkung. Schadcode lässt sich auch so verstecken, dass er durch den Contao-Check nicht entdeckt wird. Und eine Weile schlafen, bis er aktiv wird. Bei einem recht neuen Backup kann man nicht sicher wissen, ob es wirklich sauber ist.

1. das durchlesen und durchgehen -> http://de.contaowiki.org/Contao_gehackt
2. Mach auch mal ein update. Die 3.0 bekommt schon lange keine Sicherheitsupdates mehr.
3. Eventuell auch mal mit dem Hoster sprechen, damit der den ganzen Server nach Schadcode durchsuchen kann.

Viele Grüße