MyBB.de Forum

Diskussion zu: Sicherheitslücken in Plugins gefunden

Ich dachte bisher immer das die Plugins vor Freischaltung auf mybb.com auf Sicherheitslücken überprüft werden?!

Nein, das wäre viel zu zeitaufwendig. Zudem ist das FBConnect-Plugin gar nicht auf der Mod-Seite veröffentlicht.

Der Zeitaufwand ist natürlich ein Argument. Aber mir stellt sich die Frage wie Leute, wie ich zum Beispiel, die mit PHP eher wenig am Hut haben einschätzen bzw. prüfen können ob ein Plugin sicher ist oder nicht?

Selbst als PHP-Entwickler kann man Plugins ab einer bestimmten Größe nicht mehr so schnell prüfen oder immer fehlerfrei entwickeln. Daher sollte man mit Plugins sparsam umgehen, immer aktualisieren und vor dem Einbau schauen (bei mybb.com), ob nicht schon Probleme bekannt sind.

Ich achte bei Plugins auch immer auf den Autor und seine Reputation, die Diskussionen über andere Plugins aus seiner Hand (z.B. hier) aber auch auf die Reviews auf mybb.com.

Ich für meinen Teil halte alles aktuell und schaue auch auf mybb.com bzw. auf den Seiten von denen ich meine Plugins habe (z.b. Mybb Plugins). Da ich selber recht wenige Plugins nutze und wenn dann nur von renommierten Quellen, hoffe ich auf der sicheren Seite zu sein.

Jedoch gibt es ja auch Benutzer die der englischen Sprache nicht unbedingt etwas abgewinnen können. Da hilft es nicht auf mybb.com zu schauen wenn man der Sprache nicht mächtig ist.
Vielleicht ist es ja eine Idee eine Liste mit den gravierendsten Programmierfehlern hier auf MyBBoard.de anzubieten. So könnte jeder Laie, zumindest oberflächlich checken, ob eine gravierende Sicherheitslücke in seinem Wunschplugin vorhanden ist.

(14.01.2012, 11:09)Kenny schrieb: [ -> ]So könnte jeder Laie, zumindest oberflächlich checken, ob eine gravierende Sicherheitslücke in seinem Wunschplugin vorhanden ist.

Das ist schlichtweg nicht möglich. Je nach Programmierstil sieht es anders aus und ist für einen Laien nicht oberflächlich prüfbar ohne den Inhalt jeder einzelnen Variable durch das Plugin zu verfolgen. Genau das macht es ja so aufwendig.

(14.01.2012, 11:11)StefanT schrieb: [ -> ][Das ist schlichtweg nicht möglich. Je nach Programmierstil sieht es anders aus und ist für einen Laien nicht oberflächlich prüfbar ohne den Inhalt jeder einzelnen Variable durch das Plugin zu verfolgen. Genau das macht es ja so aufwendig.

Siehst du. Das kommt davon wenn ein Programmierlaie mal ne Idee hat.
War eben eine Idee. Insgeheim dachte ich mir sowas schon. Schade eigentlich.

Man könnte probieren zumindest die x am öftesten installieren plugins zu testen, aber es wird aufwendig und laien können es aus den oben genannten sachen nicht. könnte man vll mal als test starten