Seite 1 von 1

Sicherheitslücke - Möglichkeit von Cross-Site-Scripting/XSS

Verfasst: Fr 2. Mai 2025, 11:37
von eumel1602
Vielen Dank für die Board E-Mail !! und die Verlinkung hier her!

wenn ich die init.php aus dem patch vom Dezember nehme, mit dem neuen code überschreibe, kommt beim öffnen einer Spielklasse (LMO Admin bereich) folgender Fehler auf einer weißen Seite:

XSS-Scripting detected

ich nutzt LMO 4.1.4

Re: Sicherheitslücke - Möglichkeit von Cross-Site-Scripting/XSS

Verfasst: Fr 2. Mai 2025, 13:07
von Henshingly
eumel1602 hat geschrieben: Fr 2. Mai 2025, 11:37 Vielen Dank für die Board E-Mail !! und die Verlinkung hier her!

wenn ich die init.php aus dem patch vom Dezember nehme, mit dem neuen code überschreibe, kommt beim öffnen einer Spielklasse (LMO Admin bereicht) folgender Fehler auf einer weißen Seite:

XSS-Scripting detected

ich nutzt LMO 4.1.4
Zeile 33 in der lmo-adminmain.php

Code: Alles auswählen

    $subdir=isset($_REQUEST["subdir"])?$_REQUEST["subdir"]:dirname($file)."/";

ändern in

Code: Alles auswählen

    $subdir = isset($_REQUEST['subdir']) ? $_REQUEST['subdir'] : dirname($file);
Sorry hatte ich vergessen :oops:

EDIT
Diese Änderungen nicht durchführen.

Re: Sicherheitslücke - Möglichkeit von Cross-Site-Scripting/XSS

Verfasst: Fr 2. Mai 2025, 14:12
von eumel1602
Ok, Habe auch die zweite Datei in zeile 33 den Code ersetzt. nun funktioniert es wieder! DANKE

Vorschlag. Kann man das nicht gleich neu in den Patch einarbeiten. und geschlossen die vier Datein zur Verfügung stellen? (ZEitstempel heute)

Re: Sicherheitslücke - Möglichkeit von Cross-Site-Scripting/XSS

Verfasst: Sa 3. Mai 2025, 08:16
von eumel1602
Moin!
Leider ist noch nicht alles "schick".
Ich habe im Frontend eine aktuiellen "Spielplan"seite die komplett nicht funktioniert. (Fehler: XSS-Scripting detected)
Link: https://XXXXXX/index.php/ssv-teams/1-ma ... plan-ssv-i

Die Ergebnisse/Tabelle der Liga hingegen funktioniert:
https://XXXXXX/index.php/ssv-teams/1-ma ... elle-ssv-i

wenn ich hier auf dem folgenden Link (Ball) klicke (auf einen Archivbereich) da sind zahlreiche Ligen ebenfalls mit dem Code:
XSS-Scripting detected nicht erreichbar... einige gehen

Ich kann kein System feststellen

Re: Sicherheitslücke - Möglichkeit von Cross-Site-Scripting/XSS

Verfasst: Sa 3. Mai 2025, 11:26
von DwB
Ändere den Link auf https://ssvsayda.de/lmo_v4.1.4/lmo.php? ... &selteam=9

also ohne / im Parameter file

Re: Sicherheitslücke - Möglichkeit von Cross-Site-Scripting/XSS

Verfasst: Sa 3. Mai 2025, 13:53
von eumel1602
DwB hat geschrieben: Sa 3. Mai 2025, 11:26 Ändere den Link auf https://ssvsayda.de/lmo_v4.1.4/lmo.php? ... &selteam=9

also ohne / im Parameter file
OHHH MAN! DANKE...
früher lief das...

Für Andere User
hier der Fehler des Beispiels:
https://xxxxxxx/LMO4_1_4/lmo.php?file=/fjugendfruehjahr2122.l98&action=program" style="vertical-align: middle;" width="550">

Re: Sicherheitslücke - Möglichkeit von Cross-Site-Scripting/XSS

Verfasst: So 4. Mai 2025, 09:36
von eumel1602
Guten Morgen. Nach den Änderungen ist mir weiterhin aufgefallen:
Ich bin im Adminbereich des LMO. Öffnen eine Liga, nehme meine Änderungen vor und speichere.
Danach möchte ich in eine andere Liga wechseln. Klicke ich nun auf den TAB "Öffnen" wird mir angezeigt, das es keine Ligen mehr gibt (screenshot).
Nutzte ich dann einen anderen Tab: z.b. "NEU" und gehe über den TAB "Öffnen" wieder zu den Ligen, sind wieder alle Ligen zu sehen.
bildschirmabgriff.jpg

Re: Sicherheitslücke - Möglichkeit von Cross-Site-Scripting/XSS

Verfasst: So 4. Mai 2025, 11:45
von Henshingly
Muss ich mir mal ansehen.
Aber erst morgen

Re: Sicherheitslücke - Möglichkeit von Cross-Site-Scripting/XSS

Verfasst: Mo 5. Mai 2025, 10:03
von Henshingly
Einige Änderungen in der lmo-dirlist.php

geänderte Datei im Anhang


EDIT:
Anhang gelöscht weil dieser Fix nicht alle Fehler beseitigt.

MfG
Henshingly

Re: Sicherheitslücke - Möglichkeit von Cross-Site-Scripting/XSS

Verfasst: Mo 5. Mai 2025, 18:04
von eumel1602
Hallo !
Habe die Datei "drüberkopiert" Nun werden wieder alle Ligen nach dem Speichern in der Liste angezeigt,
ABER:
klickt man aber auf eine Liga und öffnet sie, ist sie leer!
Ausloggen, neu einloggen, geht wieder genau eine Liga, nach dem speichern , die andere Liga, egal welche, leer...
sie bild:
bildschirmabgriff.jpg
(nicht wundern. Die Tabs: NEU, ÖFFNEN, Uppload, Dowload ect. sind aktuell farblich ausgeblendet (gleiche farbe mit hintergrund). Hat aber nix mit dem Fehler zu tun. ist schon lange so gewolt, das ist eine interne geschichte... )

Re: Sicherheitslücke - Möglichkeit von Cross-Site-Scripting/XSS

Verfasst: Mo 5. Mai 2025, 20:08
von Henshingly
Ich muss die ganze Sache neu überdenken.
Werde morgen, spätestens übermorgen was schaffen

Re: Sicherheitslücke - Möglichkeit von Cross-Site-Scripting/XSS

Verfasst: Mo 5. Mai 2025, 21:34
von eumel1602
Danke für deine Mühen

Re: Sicherheitslücke - Möglichkeit von Cross-Site-Scripting/XSS

Verfasst: Di 6. Mai 2025, 15:10
von Henshingly
@eumel1602

schaust Du hier.

MfG Henshingly

Re: Sicherheitslücke - Möglichkeit von Cross-Site-Scripting/XSS

Verfasst: Di 6. Mai 2025, 18:18
von eumel1602
Ich habe die drei datein aus dem Patch 1.1. "drübergebügelt" und konnte keinen Fehler bis jetzt mehr finden!

DANKE!