Erlaubte Upload-Dateitypen sperren?

[sven.meissner]

Hallo zusammen,

wir haben immer wieder die Diskussion mit dem Datenschutz, dass sich jemand mit erschlichenem Admin-Zugang im Backend unter Datei-Uploads die erlaubten Typen um z.B. PHP erweitert.

Da dieses Feld bereits durch die localconfig befüllt ist ($GLOBALS['TL_CONFIG']['uploadTypes']), möchte ich dieses Feld erst gar nicht im Backend anbieten. An welcher Stelle müsste das geändert werden, um das auch update-sicher zu halten? In den Backend-Templates wäre es ja nicht wirklich "sicher" entfernt. Ich möchte, dass dieses Feld nur durch die localconfig definiert wird.

Hat dazu jemand einen Rat?

Danke, Sven

[Spooky]

Du könntest

# config/config.yaml
contao:
    localconfig:
        uploadTypes: '…'

setzen, dann kann man es im Backend nicht mehr editieren.

[do_while]

... dass sich jemand mit erschlichenem Admin-Zugang im Backend ...

Ich denke mal, da liegt das Hauptproblem!

[sven.meissner]

Du könntest

# config/config.yaml
contao:
    localconfig:
        uploadTypes: '…'

setzen, dann kann man es im Backend nicht mehr editieren.

Ja, genau das war mein Anliegen! Nun ist es grau hinterlegt und nicht mehr editerbar.
Vielen Dank!

[zonky]

wir haben immer wieder die Diskussion mit dem Datenschutz, dass sich jemand mit erschlichenem Admin-Zugang im Backend unter Datei-Uploads die erlaubten Typen um z.B. PHP erweitert.
...
Hat dazu jemand einen Rat?

2FA einschalten - sollte das Problem minimieren