Beiträge von Kitsune

tjess

Finde die Idee an sich gut, vor allem wenn man mal mehrere Kundenwebsiten hat, die man betreut, macht man eventuell nicht jedes Update und neu Hochladen der Seiten mit, weil es Zeit kostet. Dann ist man am Ende selbst der Leidtragende.

Hier mein Vorschlag dazu: Sicherheitsrelevante Updates genau als solche Kennzeichnen und in einer bestimmten Form öffentlich machen, auf die auch hingewiesen wird oder direkt im Programm eine kleine Meldung ausgeben.

Je nachdem, was einfacher ist, natürlich auch gerne E-Mail Versand.

Es ist natürlich ein nerviges Thema, welches aber durchaus im Laufe der Zeit irgendwann relevant werden könnte.

Im Sinne von Entwickler und Nutzer: Let´s make Zeta safe again

Stefan S Ok super. Und gerne per "du".

Mich wunderts nur, dass ich nicht falschlag. Das war eigentlich der einfachste und am häufigsten vorkommende Hack, den es gibt, nach meiner kurzen Recherche.

Ich bin eher einer der vorsichtigen Sorte und habe eben mal gelesen, dass derjenige, der eine Sicherheitslücke zu verantworten hat, haftbar gemacht werden kann, nur als gut gemeinter Hinweis. Ich werde mit Zeta bald als Webdesigner anfangen zu arbeiten und mich versichern lassen. Falls eine Kundenseite Schaden auslöst, wird natürlich nach dem Schuldigen gesucht, von meiner Versicherung aus und es könnte sein, dass diese eventuell nicht zahlen würde, weil ich ja ein spezielles Programm, das genau für so etwas entwickelt und beworben wird, verwende, welches so grobe Sicherheitslücken nicht produzieren sollte.

Vielleicht mal ab und zu einen kleinen Sicherheitscheck durchführen oder Ähnliches, um eventuelle Regressforderungen zu vermeiden.

Detailer Problem gelöst. Unbedingt mal Zeta und die Seite aktualisieren.

Schade, dass es keiner direkt beim Threadstart gemerkt hat. Der Hacker hat sogar gesagt, was für eine Sicherheitslücke es ist:

Zitat

Detailer:
Es soll auf meiner Website eine Sicherheitslücke geben (Cross Site Scripting XSS)

5 Minuten googeln nach XSS und man versteht ungefähr, was es ist und dass man es über ein Eingabefeld wie die Suchfunktion machen könnte.

Meiner Meinung nach hätte der "Hacker" auch einen Bug Bounty verdient. Wenn es einer aus Portugal ist, freut er sich bestimmt auch über 10 Euro, obwohl das für Zeta eigentlich viel mehr Wert sein sollte.

Außerdem, wenn man den White Hackern nicht genug dankt, sterben sie womöglich irgendwann aus.

Das Gute ist, es wird so schnell wohl nicht wieder passieren

Hallo Hanabi,

probiers doch einfach mal aus auf seiner Seite. Es passiert das, was man in der Suchfunktion programmiert.

In diesem Fall öffne ich ein Fenster, welches mir das Wort "XSS" ausgibt, aber ich könnte da alles reinschreiben.

Ob HTML oder Javasript-Codes, beides funktioniert, weil es eben nicht unterbunden wird wie bei dir.

Zeta Producer richtet sich doch gerade auch an unerfahrene ohne Programmierkenntnisse. Und in der normalen Suche klappt dieser "Hack" auch nicht.

Lediglich eben in der Shopsuche kann man seine Codes einführen und das sollte doch so nicht sein.

Bestimmt kann man das schon direkt im Code der Shopsuche unterbinden. Korrigier mich bitte, falls ich falschliegen sollte.

Guten Tag allerseits,

dachte nicht, dass das mein erster Beitrag hier im Forum wird, aber mit dem Thema Sicherheit und Hacking beschäftige ich mich gerade.

Liebes Zeta Team, gebt mal bitte <script type="text/javascript">alert("XSS")</script> auf seiner Seite im Suchfeld ein.

Es öffnet sich durch die mitlaufende Shop-Suche ein Fenster. In der normalen suche scheint alles ok zu sein.

Nach einer halben Stunde Recherche zum Thema XSS sollte das nach meinem Verständnis nicht so sein und ist eine Sicherheitslücke.

Entschuldigt, wenn ich hier flasch liegen sollte.

Dazu passend die Frage, die ich sowieso mal stellen wollte:

Wenn durch so eine Sicherheitslücke, ausgelöst durch den Zeta Producer, ein finanzieller Schaden entsteht (gestohlene Kundendaten etc.), wer haftet?

Laut meiner Logik in dem Fall Sie? (Vorausgesetzt man hat immer die neuen Updates)