Hallo,
ich habe soeben entdeckt, dass es möglich ist beim Seitenquelletest (re MT im Browser) die LW-Angaben zu sehen, wo ZP abspeichert. Diejenigen, die die Dateien wie von ZP vorgegeben auf C: produzieren, geben damit auch Ihren Benutzernamen bekannt. Im Quelltest sieht das z.B. so aus: href="assets/bundle.css?v=635780164788001785"> Beim Anklicken werden dann foglende Daten freigegeben:
/*
- C:\Users\Sedat\AppData\Local\Zeta Producer 12.5\packaging\layouts\_shared\assets\zpgrid.css - C:\Users\Sedat\AppData\Local\Zeta Producer 12.5\packaging\widgets\zptabledata\zptabledata.css - C:\Users\Sedat\AppData\Local\Zeta Producer 12.5\packaging\widgets\_Shared\js\fancybox\jquery.fancybox-1.3.4.css - C:\Users\Sedat\AppData\Local\Zeta Producer 12.5\packaging\widgets\alertbanner\alertbanner.css - C:\Users\Sedat\AppData\Local\Zeta Producer 12.5\packaging\widgets\formular\form.css - C:\Users\Sedat\AppData\Local\Zeta Producer 12.5\packaging\widgets\quelltext-(html)\quelltext.css---*/Wir arbeiten auf einem hohen DS-Niveau und so etwas kann meinen Job kosten. Vielen Dank, dass das vorher nirgendwo zu lesen war!
Gibt es eine Möglichkeit das zu ändern?Viele GrüßeTirila
Freigabe des Benutzernamens im Web
-
-
Hallo Tirila,
vielen Dank für den Beitrag. Das Beschriebene ist bekannt und wurde bei uns intern bereits zur Behebung vermerkt.
-
Hallo Herr T.,
ich habe unternehmenintern einigen Ärger wegen der Sicherheitslücke bekommen.
Können Sie bitte mitteilen, bis wann es ein Sicherheitsupdate geben wird. Es geht leider darum, ob wir in unserem Unternehmen die Software für neue Projekte nutzen, bzw. ob wir die alten alle ohne ZP nochmal "aufsetzen" müssen.
Mit freundlichen Grüßen
Tirila -
Es ist unschön, dass der Name erscheint.
Ich möchte verstehen, worin hier genau die "Sicherheitslücke" besteht.
Welche Schwachstelle wird hier offenbart, die sich wie ausnützen lässt?
-
Hallo Tirila
Damit der Name erstmal nicht dort drin steht, kann Zeta auch auf einem anderen Laufwerk installiert werden
und schon ist das Problem der Weiterverwendung erstmal vom Tisch.In den bestehenden Webseiten kann die bundle.js bearbeitet und die Zeilen gelöscht werden.
Gruss swork
-
Hallo Swork,
wie kann ich die bundle.js nachträglich bearbeiten? Auf dem Server oder lokal, nach jedem update? Ich bin für ca. 35 Websites zuständig ...
Vielen Dank für eine schnelle Antwort. Morgen entscheidet sich. ob unser Unternehme mit ZP weiterarbeiten möchte und ich muss Lösungen vorschlagen, die akzeptabel sind.
Vielen Dank
Tirila -
Hallo Tirila
Zunächst einmal will ich betonen, das auch ich diese Information eher um eine gekürzte
Pfadangabe sehen würde.Da ich eh kein Freund davon bin, Programme auf C: zu installieren, würde ich vorschlagen
die Installation von Zeta auf ein anderes Laufwerk, oder mindestens ein anderes
Verzeichniss vorzunehmen. Die Pfadangabe steht dann zwar immer noch in der
bundle.js, aber sie ist so allgemein und ohne persönliche Angaben, das ich mir
eher darüber sorgen mache, das die Denic persönliche Informationen des Domaininhabers
auf ihrer Webseite veröffentlicht.Als weitere Möglichkeit ist die Bearbeitung der bundle.js im Output Ordner, vor dem
Hochladen. Die Zeilen sind schnell zu finden, da sie am Anfang stehen.Erstere Variante wäre vorzuziehen. Die weitere Nutzung von Zeta sollte so kein Problem
sein.gruss swork
-
Ich denke wir werden diese Funktion im Standard abschalten, so dass die Pfade gar nicht in den Bundle-Dateien auftauchen. Wenn Entwickler die Pfade für debugging-Zwecke benötigen, wird das dann per Attribut o.Ä. aktivierbar sein…
Jetzt mitmachen!
Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!