Sieht für mich nach dem Versuch, Geld zu machen aus. Würde ich ignorieren, zumal die nicht öffentlich zeigen, was denn der tatsächliche Fehler sein soll.
Besten Dank. Hier gibt es einen Link von heise wonach sie selber auf einen Fehler hingewiesen wurden. Aber auch nicht ganz kritiklos hinsichtlich Geldmacherei waren.
Ich denke, ich werde es ignorieren, es denn jemand anderes hier findet auch einen Fehler. 
Danke nochmals! 
Interessant. Im Fall von heise, existierte ja wohl tatsächlich ein XSS Problem, das nach Kontaktaufnahme auch offengelegt wurde. Das können Sie natürlich auch gerne tun. Wenn wir die Details zur Lücke haben (gerne auch auf Englisch), können wir dazu Stellung nehmen und ggf. das Problem beseitigen.
Okay,
mal sehen ob ich Hinweise ohne vorheriges "Handaufhalten" erhalte.
Falls ja, melde ich mich.
***Update: Sorry, ich komme mit dem Mist nicht klar! Wie soll ich den Entdecker denn kontaktieren? Da gibt es nicht mal einen Button? Anscheinend soll ich mich da erst irgendwo anmelden. Klar, damit die noch mehr Daten von mir bekommen. Schlecht aufgebaut der Käse. Und wenn man sich das Profil des Entdeckers ansieht so sind allein heute hunderte Seiten von ihm mit angeblichen Fehlern entdeckt worden. Und laut Statistik wird nur ein geringer Teil gelöst? Das sieht wirklich nur nach Geldmacherei aus. 
Werde nichts unternehmen. ***
Die Plattform als solche ist m. E. eine gute Idee, aber es tummeln sich dort leider wohl einige "schwarze Schafe":
https://steigerlegal.ch/2019/06/10/ope…nty-erpressung/
Wie soll ich den Entdecker denn kontaktieren?
Das war mir erst auch nicht klar. Dann sah ich, dass auf der Profilseite des "Entdeckers" eine E-Mail-Adresse unter "How to contact me" angegeben ist. Natürlich hat man ja erstmal Hemmungen, einen total anonymen "Hacker" per E-Mail zu kontaktieren. Ich würde das daher wahrscheinlich auch nicht tun. Da müsste die Platform nachbessern. Also wohl am besten einfach ignorieren. Sollte ein schwerwiegender Fehler auftreten, bekommen wir das in der Regel schon mit und reagieren entsprechend mit Updates.
Hallo
Ich ignoriere solche Probleme einfach, es scheint mir besser
schöne Seite https://slotspieleclub.de/ für Menschen
Guten Tag allerseits,
dachte nicht, dass das mein erster Beitrag hier im Forum wird, aber mit dem Thema Sicherheit und Hacking beschäftige ich mich gerade.
Liebes Zeta Team, gebt mal bitte <script type="text/javascript">alert("XSS")</script> auf seiner Seite im Suchfeld ein.
Es öffnet sich durch die mitlaufende Shop-Suche ein Fenster. In der normalen suche scheint alles ok zu sein.
Nach einer halben Stunde Recherche zum Thema XSS sollte das nach meinem Verständnis nicht so sein und ist eine Sicherheitslücke.
Entschuldigt, wenn ich hier flasch liegen sollte.
Dazu passend die Frage, die ich sowieso mal stellen wollte:
Wenn durch so eine Sicherheitslücke, ausgelöst durch den Zeta Producer, ein finanzieller Schaden entsteht (gestohlene Kundendaten etc.), wer haftet?
Laut meiner Logik in dem Fall Sie? (Vorausgesetzt man hat immer die neuen Updates)
Hallo Kitsune,
was soll denn da passieren? Bei mir wechselt lediglich die Seite von der eigenen Homepage auf eine Standardseite des Hosters.
PS: Liegt wohl daran, dass bei mir Javascript (und anderes) unterbunden wird mit folgenden Eintrag in der .htaccess:
IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{QUERY_STRING} (eval\() [NC,OR]
RewriteCond %{QUERY_STRING} (127\.0\.0\.1) [NC,OR]
RewriteCond %{QUERY_STRING} ([a-z0-9]{2000}) [NC,OR]
RewriteCond %{QUERY_STRING} (javascript:)(.*)(;) [NC,OR]
RewriteCond %{QUERY_STRING} (base64_encode)(.*)(\() [NC,OR]
RewriteCond %{QUERY_STRING} (GLOBALS|REQUEST)(=|\[|%) [NC,OR]
RewriteCond %{QUERY_STRING} (<|%3C)(.*)script(.*)(>|%3) [NC,OR]
RewriteCond %{QUERY_STRING} (\\|\.\.\.|\.\./|~|`|<|>|\|) [NC,OR]
RewriteCond %{QUERY_STRING} (boot\.ini|etc/passwd|self/environ) [NC,OR]
RewriteCond %{QUERY_STRING} (thumbs?(_editor|open)?|tim(thumb)?)\.php [NC,OR]
RewriteCond %{QUERY_STRING} (\'|\")(.*)(drop|insert|md5|select|union) [NC]
RewriteRule .* - [F]
</IfModule>Hallo Hanabi,
probiers doch einfach mal aus auf seiner Seite. Es passiert das, was man in der Suchfunktion programmiert.
In diesem Fall öffne ich ein Fenster, welches mir das Wort "XSS" ausgibt, aber ich könnte da alles reinschreiben.
Ob HTML oder Javasript-Codes, beides funktioniert, weil es eben nicht unterbunden wird wie bei dir.
Zeta Producer richtet sich doch gerade auch an unerfahrene ohne Programmierkenntnisse. Und in der normalen Suche klappt dieser "Hack" auch nicht.
Lediglich eben in der Shopsuche kann man seine Codes einführen und das sollte doch so nicht sein.
Bestimmt kann man das schon direkt im Code der Shopsuche unterbinden. Korrigier mich bitte, falls ich falschliegen sollte.
iebes Zeta Team, gebt mal bitte <script type="text/javascript">alert("XSS")</script> auf seiner Seite im Suchfeld ein.
Es öffnet sich durch die mitlaufende Shop-Suche ein Fenster. In der normalen suche scheint alles ok zu sein.
Damit ich Missverständnisse vermeide. Sie haben das in einem Projekt getestet in dem der Shop aktiviert und das Widget "Shop: Suche" auf der Such-Seite platziert war, richtig?
Sie haben den Suchstring dann in das ganz normale Suchfeld, dass auf jeder Seite angezeigt wird, eingegeben. Richtig?
Kitsune Konnte es reproduzieren.
Der Fehler ist per Online-Update behoben. In frühestens 30 Minuten auf "Extras > Updates suchen" klicken und nachdem Inhalte geladen wurden (Hinweis unten rechts) die Option "Erweitert > Erstellen > Alle Seiten erstellen" wählen. Danach ggf. veröffentlichen.
Was die Haftung angeht, müssten Sie einen Anwalt fragen.
Stefan S Ok super. Und gerne per "du".
Mich wunderts nur, dass ich nicht falschlag. Das war eigentlich der einfachste und am häufigsten vorkommende Hack, den es gibt, nach meiner kurzen Recherche.
Ich bin eher einer der vorsichtigen Sorte und habe eben mal gelesen, dass derjenige, der eine Sicherheitslücke zu verantworten hat, haftbar gemacht werden kann, nur als gut gemeinter Hinweis. Ich werde mit Zeta bald als Webdesigner anfangen zu arbeiten und mich versichern lassen. Falls eine Kundenseite Schaden auslöst, wird natürlich nach dem Schuldigen gesucht, von meiner Versicherung aus und es könnte sein, dass diese eventuell nicht zahlen würde, weil ich ja ein spezielles Programm, das genau für so etwas entwickelt und beworben wird, verwende, welches so grobe Sicherheitslücken nicht produzieren sollte.
Vielleicht mal ab und zu einen kleinen Sicherheitscheck durchführen oder Ähnliches, um eventuelle Regressforderungen zu vermeiden.
Detailer Problem gelöst. Unbedingt mal Zeta und die Seite aktualisieren.
Schade, dass es keiner direkt beim Threadstart gemerkt hat. Der Hacker hat sogar gesagt, was für eine Sicherheitslücke es ist:
Detailer:
Es soll auf meiner Website eine Sicherheitslücke geben (Cross Site Scripting XSS)
5 Minuten googeln nach XSS und man versteht ungefähr, was es ist und dass man es über ein Eingabefeld wie die Suchfunktion machen könnte.
Meiner Meinung nach hätte der "Hacker" auch einen Bug Bounty verdient. Wenn es einer aus Portugal ist, freut er sich bestimmt auch über 10 Euro, obwohl das für Zeta eigentlich viel mehr Wert sein sollte.
Außerdem, wenn man den White Hackern nicht genug dankt, sterben sie womöglich irgendwann aus.
Das Gute ist, es wird so schnell wohl nicht wieder passieren 
Guten Morgen,
vielen Dank an alle für das Finden des Fehlers und das schnelle Update.
Grundsätzlich würde ich mir wünschen, dass der Zeta-Nutze bzw -Käufer auf schwerwiegende Fehler proaktiv hingewiesen wird. Denn nur weil ich dieses Thema bis zum Ende durchgelesen habe, habe ich bemerkt, dass ich meine Seite aktualisieren muss.
Ich sehe ja den Trade-off zwischen Nicht-Verunsicherung der (unbedarften) Nutzer/Käufer, aber natürlich auch der Kenntnissnahme und dem schnellen Einspielen von sicherheitsrelevanten Updates.
Da z.B. der Shop ja nur in einer entgeltlichen Version verfügbar ist, hat Zeta in diesem Fall die Mail-Adressen der Käufer und könnte schnell hier schnell alle Käufer informieren. Oder man macht einen Hinweis ins Forum an prominente Stelle. Letzteres hilft natürlich nur den Nutzern, die auch regelmäßig das Forum nutzen. Alternativ könnte man wie so eine Art Newsletter anbieten, für den sich Nutzer registrieren können.
Was denkt ihr?
Viele Grüße
Tobias
Finde die Idee an sich gut, vor allem wenn man mal mehrere Kundenwebsiten hat, die man betreut, macht man eventuell nicht jedes Update und neu Hochladen der Seiten mit, weil es Zeit kostet. Dann ist man am Ende selbst der Leidtragende.
Hier mein Vorschlag dazu: Sicherheitsrelevante Updates genau als solche Kennzeichnen und in einer bestimmten Form öffentlich machen, auf die auch hingewiesen wird oder direkt im Programm eine kleine Meldung ausgeben.
Je nachdem, was einfacher ist, natürlich auch gerne E-Mail Versand.
Es ist natürlich ein nerviges Thema, welches aber durchaus im Laufe der Zeit irgendwann relevant werden könnte.
Im Sinne von Entwickler und Nutzer: Let´s make Zeta safe again
Das ist in der aktuellen Version behoben und betraf nur den "neuen" Shop.
Ich prüfe mal, ob wir das für Version 14 auch beheben können.
Versionen vor 14 sind aber aus dem Spiel, weil es da den betroffenen Shop ja noch nicht gab.
Detailer Der Fehler ist nun per Online-Update auf für Version 14.3.X behoben. In frühestens 30 Minuten auf "Extras > Updates suchen" klicken und nachdem Inhalte geladen wurden (Hinweis unten rechts) die Option "Erweitert > Erstellen > Alle Seiten erstellen" wählen. Danach ggf. veröffentlichen.
Wow, fixer Fix. Mache ich dann. Besten Dank schon einmal. Auch an Kitsune für das dranbleiben.
Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!
