admin/Smart-Dashboard
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

tahoma.php: Anmeldung voraussetzen

Browse Source 
Die Datei hatte keinerlei Zugriffspruefung. Damit liessen sich von beliebiger
Stelle die Somfy-Geraete auflisten (?action=devlist) sowie Rollladen abfragen
und verfahren (?action=move&device=...&pos=...&angle=...). Das Tahoma-Token
liegt serverseitig, ein Angreifer brauchte es also nicht.

checkLogin() ist jetzt vorgeschaltet, dafuer wird helper.php eingebunden. Im
Frontend gibt es derzeit keinen Aufrufer der Datei, ein bestehender Ablauf
kann also nicht brechen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
admin
2026-08-28 15:37:48 +02:00
co-authored by Claude Opus 5
parent 464c08f414
commit 0075f803d0
1 changed files with 9 additions and 0 deletions
Download Patch File Download Diff File Expand all files Collapse all files
ajax/tahoma.php
+9
View File
@@ -1,7 +1,16 @@
<?php <?php
set_time_limit(60); set_time_limit(60);
ob_start(); ob_start();
require_once("../helper.php");
require_once("../restricted/tahoma_EG.php"); require_once("../restricted/tahoma_EG.php");
// Ohne diese Pruefung liessen sich Rollladen von beliebiger Stelle abfragen
// und verfahren - das Tahoma-Token liegt serverseitig, ein Angreifer braucht
// es also gar nicht.
if (!checkLogin()) {
http_response_code(403);
exit;
}
//67ebd23e3a61763386d9 //67ebd23e3a61763386d9
function getSSLPage($url, $tahoma_token) function getSSLPage($url, $tahoma_token)
{ {