blackicedbear/FHC-Core
1
0
Fork 0
mirror of https://github.com/FH-Complete/FHC-Core.git synced 2026-07-25 08:34:29 +00:00
Code Issues Packages Projects Releases Wiki Activity

Fixed some XSS Bugs

Browse Source
This commit is contained in:
Andreas Österreicher
2020-02-04 14:58:33 +01:00
parent e19533c0ba
commit a66d319581
3 changed files with 5 additions and 4 deletions
Download Patch File Download Diff File Expand all files Collapse all files
cis/index.php
+3 -2
View File
@@ -70,13 +70,14 @@ if(defined('CIS_CHECK_PASSWORD_CHANGE') && CIS_CHECK_PASSWORD_CHANGE==true)
*/
function validURLCheck($param)
{
if(strstr($param,':'))
if (strstr($param,':') || strstr($param,'//'))
{
// Der APP_ROOT muss in der URL vorkommen, sonfern es kein relativer Pfad ist
// HTTPS und HTTP
if(mb_strpos($param, APP_ROOT)!==0
&& mb_strpos(mb_str_replace("http://","https://", $param), APP_ROOT)!==0
&& mb_strpos(mb_str_replace("https://","http://", $param), APP_ROOT)!==0)
&& mb_strpos(mb_str_replace("https://","http://", $param), APP_ROOT)!==0
&& $param != 'about:blank')
{
$text="Dies ist eine automatische Mail.\nEs wurde eine mögliche XSS Attacke durchgefuehrt:\n";
$text.="\nFolgende URL wurde versucht aufzurufen: \n".$_SERVER['SERVER_NAME'].$_SERVER['REQUEST_URI'];