From 0075f803d0dfd84f924fd225dff46c526b2f9c9d Mon Sep 17 00:00:00 2001
From: Moirtz Wagner <m0w1337@gmail.com>
Date: Fri, 28 Aug 2026 15:37:48 +0200
Subject: [PATCH] tahoma.php: Anmeldung voraussetzen

Die Datei hatte keinerlei Zugriffspruefung. Damit liessen sich von beliebiger
Stelle die Somfy-Geraete auflisten (?action=devlist) sowie Rollladen abfragen
und verfahren (?action=move&device=...&pos=...&angle=...). Das Tahoma-Token
liegt serverseitig, ein Angreifer brauchte es also nicht.

checkLogin() ist jetzt vorgeschaltet, dafuer wird helper.php eingebunden. Im
Frontend gibt es derzeit keinen Aufrufer der Datei, ein bestehender Ablauf
kann also nicht brechen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
---
 ajax/tahoma.php | 9 +++++++++
 1 file changed, 9 insertions(+)

diff --git a/ajax/tahoma.php b/ajax/tahoma.php
index 99c0d64..c4e0175 100644
--- a/ajax/tahoma.php
+++ b/ajax/tahoma.php
@@ -1,7 +1,16 @@
 <?php
 set_time_limit(60);
 ob_start();
+require_once("../helper.php");
 require_once("../restricted/tahoma_EG.php");
+
+// Ohne diese Pruefung liessen sich Rollladen von beliebiger Stelle abfragen
+// und verfahren - das Tahoma-Token liegt serverseitig, ein Angreifer braucht
+// es also gar nicht.
+if (!checkLogin()) {
+	http_response_code(403);
+	exit;
+}
 //67ebd23e3a61763386d9
 function getSSLPage($url, $tahoma_token)
 {