--- title: "Sicherheitslücke in NF Downloads" url: "https://www.typo3.net/d/5335-sicherheitsluecke-in-nf-downloads" source: "typo3.net" tags: ["TYPO3","Frontend","Dateien & FAL","Frage","Sicherheit"] created: "2003-08-29" last_reply: "2003-08-29" replies: 4 solved: false page: 1 pages: 1 lang: "de" --- # Sicherheitslücke in NF Downloads TYPO3 › Frontend · 4 Antworten · gestartet 2003-08-29 ## Eröffnungsbeitrag **flxms** · 2003-08-29 · [Beitrag #1](https://www.typo3.net/d/5335-sicherheitsluecke-in-nf-downloads/1) Ich glaube eine Sicherheitslücke in dem ansonsten absolut genialen Plugin NF-Downloads entdeckt zu haben. Ich würde das Plugin gerne genau dafür verwenden wofür es laut Beschreibung gedacht ist: Auf einer Passwortgeschützten Seite in Typo3 sollen pdf-Dokumente zum download stehen. Die soll man wirklich nur da runter laden können, also wenn man sich vorher by typo3 authentifiziert hat. Direkte Links auf die Dokumente von extern sollen nicht möglich sein. Die pdf-files liegen deshalb in einem Ordner ausserhalb des Dokumentrootes (htdocs), was das Plugin auch großartig managet. Problem ist aber: Übernimmt man den vom Plugin generierten Link auf das PDF-file in die Bookmarks, kopiert dan die URL in einen anderen frisch geöffneten Browser (sicherheitshalber komplett anderer Browsertyp; mit Mozilla, Opera, Netscape 4.7 etc. bereits getestet; Übertragung von Cookies, bzw. Sessiondata also ausgeschlossen), kommt man direkt auf das pdf! Man kann also doch wieder von extern direkt auf das Dokument verlinken. Könnte das daran liegen, dass das Plugin bei der Generierung des Links nicht die aktuellen Sessioncookies berücksichtigt. Bzw. könnte es die Lösung dieses Problemes sein das SessionCookie in den Link (genauer wohl den Hash (?) Zeichensalat am Ende) zu integrieren. Dann könnte man den Link zwar weiterhin kopieren, würde aber an das pdf - dank inzwischem verfallenem SessionCookie - nicht mehr heran kommen. Über Lösungsvorschläge würde ich mich sehr sehr freuen. Gerne bin ich auch bereit so weit wie möglich bei der Lösung zu helfen, muss allerdings leider anmerken, dass ich des PHP nicht ganz so mächtig bin, wie es in diesem Fall vermutlich nötig ist. in Hoffnung auf eine Antwort und mit vielen Grüssen, Felix. ## Antworten ### [#2](https://www.typo3.net/d/5335-sicherheitsluecke-in-nf-downloads/2) · doku · 2003-08-29 mein gott! wieso machst du denn jetzt **vier threads gleichzeitig** auf??? ### [#3](https://www.typo3.net/d/5335-sicherheitsluecke-in-nf-downloads/3) · flxms · 2003-08-29 Ich wusste leider einfach partout nicht, wo das genau hingehört. Deshalb habe ich es überall dort reingestellt wo ich es selbst suchen würde. Einen der vier threads (in Sonstiges) hab ich aus versehen aufgemacht, weil ich bei den vielen offenen Browserfenstern die Übersicht verloren habe, werde ich gleich löschen... viele Grüsse, Felix ### [#4](https://www.typo3.net/d/5335-sicherheitsluecke-in-nf-downloads/4) · doku · 2003-08-29 > Deshalb habe ich es überall dort reingestellt wo ich es selbst suchen würde is schon klar, aber du und alle anderen werden sich freuen, wenn sie mehrere diskusionen parallel führen und beobachten müssen... ;) ### [#5](https://www.typo3.net/d/5335-sicherheitsluecke-in-nf-downloads/5) · flxms · 2003-08-29 Mir is schon klar, das das absolut suboptimal ist, aber ich hab trotz eingehender Recherche in allen Möglichen mailinglisten, etc nix zu dem Thema gefunden! (is mir noch mit keinem anderen Problem passiert) Deshalb udn weil ich in dieser Angelegenheit leider a bisserl unter Termindruck stehe, versuch ich jetzt halt intensiv jemanden zu finden, der evtl. weiterhelfen kann. Um nicht parallel diskutieren zu müssen hätte ich folgenden Vorschlag: sobald ich in einem der Threads eine Antwort bekomme, setze ich in den anderen einen Link auf den Thread mit der Antwort, oder lösche sie, sofern noch niemand geantwortet hat, wie ich das soeben mit dem versehentlichen Eintrag in "Sonstiges" getan habe. Ich hoffe das ist OK. Viele Grüsse, Felix. --- Quelle: „Sicherheitslücke in NF Downloads“, typo3.net, https://www.typo3.net/d/5335-sicherheitsluecke-in-nf-downloads Beiträge von Mitgliedern des Forums. Bitte mit Link auf die Diskussion zitieren.