Sicherheitsproblem mit Contao 3.1.2 und Formular Textfeld

[eweitzel]

Hallo,

ich habe ein Bestellformular das die vom Nutzer eingegebenen Daten per E-Mail im Datenformat "E-Mail" und der Übertragungsmethode "post" verschickt. Das funktioniert auch alles gut. Das ganze läuft mit Contao 3.1.2

Leider erhält mein Kunde immer wieder E-Mails mit Sonderzeichen oder womöglich irgendeinen angehängten Programm-Code. Eigentlich dürfte das nicht passieren.

Hier ist ein Beispiel: Frachtscheinnummer: 11095925092014

Die Nummer 11095925092014 ist ok aber die 3 Sonderzeichen wurden irgendwie angehängt. In diesem Feld kann man keine Daten eingeben weil es auf "readonly" gesetzt ist.

Die Frachtscheinnummer kann nicht eingegeben werden und wird automatisch im Formular mit einem Insert-Tag {{date::hmsdmY}} erzeugt:

<input class="col12" name="Frachtscheinnummer" type="text" value="{{date::hmsdmY}}" readonly >

Hat jemand eine Idee, was hier schief gehen kann. Ich habe den Eindruck, dass da jemand versucht sich über dieses Input-Feld Zugriff auf das System zu verschaffen.

Besten Dank schon mal und Gruß von Edgar Weitzel

[tab]

Lies mal im Forum "Ankündigungen/Hinweise". Anfang des Jahres wurden 2 Sicherheitslücken gefixed, die mit Eingabefeldern zu tun hatten. Du solltest besser auf Contao 3.2.14 updaten.

[eweitzel]

Hallo tab,

vielen Dank für die Info. Wie so oft sitzt das Problem vor dem Computer

Ich hatte für das betroffene Input-Element keine Formularprüfung verwendet. Ich ging davon aus, dass ein "Readonly"-Input-Feld nicht verändert werden kann. Aber das stimmt nicht. Wenn man z.B. mit dem Firebug das "readonly" Feld löscht, dann können sehr wohl beliebige Zeichen eingegeben und verschickt werden. Ich habe das jetzt geändert und verwende auch hier die in Contao eingebaute Funktionalität zur Prüfung von Input-Elementen.

Vielen Dank noch mal für die schnelle Anwort.

Gruß Edgar Weitzel

[MacGyer]

Moinsen,


nur zur Info.
Diese Zeichenkette wird auch gern mal dargestellt, wenn eine (PHP-) Datei als UTF-8 mit BOM (Byte Order Mark) gespeichert wird.
Könnte u. U. auch damit zusammenhängen.