Request Token Frage zur Nutzung

[BugBuster]

Hallöchen,
nachdem ich massenweise die neue gelbe Meldung bekommen habe bei meinen Erweiterungen, habe ich mal ein bischen im Quellcode gestöbert und Anpassungen vorgenommen.
Nun lese ich grad die Keynote von Leo und stutze.

Im Quellcode fand ich folgende Beispiele:

echo '<input type="hidden" name="REQUEST_TOKEN" value="'.REQUEST_TOKEN.'">';
bzw. im Template:
<input type="hidden" name="REQUEST_TOKEN" value="<?php echo REQUEST_TOKEN; ?>">

Dazu muss man wissen, das in der initialize.php die Konstante definiert wird.

Im Keynote stand nun:

<input type="hidden" name="REQUEST_TOKEN" value="{{request_token}}"> 

Kurzer Blick in die controller.php ergab, dieser Insert-Tag wird nicht im Cache mit abgelegt.

Hmm, aber die erste Variante doch?
Das würde doch bedeuten, eine Seite aus dem Cache geladen(mit einem Formular als Inhalt), bei Verwendung von der Konstanten würde bei Absendung eines Formulares doch den falschen Token haben (aus dem Cache), oder?

Und was passiert, fällt mir grad ein, wenn der Browsercache genutzt wird?
Wäre doch dann identisch zum Konstantenproblem?

Oder wo ist mein Denkfehler?

[xchs]

Wenn ich mich nicht täusche, wird die erste Variante für Backend-Templates verwendet, letztere für Frontend-Templates.

[BugBuster]

Hmm, klingt logisch.

[xtcPlanet]

Das ist ja ein interessanter Threat )

wollte heute in mein 2.10er Backend und mußte verdutzt feststellen, das mir ein Request (?) Token Error nach der Eingabe meiner Admin-Zugangsdaten angezeigt wird.

Ich hab dort derzeit nur wenige Erweiterungen installiert (u.a. zwei große Erweiterungen den neuen Catalog + das Isotope Grundmodul).

Nachdem ich eben nochmal einen Einlogversuch gestartet hatte, mußte ich wiederum verdutzt das es keinen solchen Error mehr gab und ich ins Backend kam.

Laut System-Log habe soll ich ein falsches Passwort eingegeben haben - naja normalerweise gibt es bei solchen Fehler andere Fehlermeldungen.

Also ich werde diesen Threat mal interessiert weiterverfolgen.