MyBB.de Forum

Hallo zusammen.

Ich habe ein CMS, dessen Userverwaltung auf die von MyBB zurückgreift.

Homepage: www.seite.de
Forum: forum.seite.de

Auf der Homepage habe ich einen Login-Link zu forum.seite.de/member.php?action=login. Wenn ich da "früher" ™ draufgeklickt und mich dann im Forum angemeldet habe, wurde ich anschließend wieder zurück zur ursprünglichen Seite geleitet - auch wenn diese auf der Homepage und nicht Teil des Forums war. Das war ganz schön, wenn man sich z. B. einloggen wollte, um einen News-Kommentar zu schreiben, da man dann direkt wieder bei der News gelandet ist.

Seit ein paar MyBB-Updates geht das nicht mehr. Im Forum selbst werde ich beim Anmelden zwar zurück auf die jeweilige Forumsseite geleitet, wo ich mich einloggen wollte. Komme ich aber von extern, also der Homepage, lande ich nach dem Login im Index des Forums.

Hat hier jemand eine Idee, wie man das wieder hinbekommt?

Es wird aus Sicherheitsgründen in der member.php überprüft, ob die Weiterleitung auch zurück zum Forum führt:

PHP-Code:
            if(my_strpos($mybb->input['url'], $mybb->settings['bburl'].'/') !== 0)
            {
                if(my_strpos($mybb->input['url'], '/') === 0)
                {
                    $mybb->input['url'] = my_substr($mybb->input['url'], 1);
                }
                $url_segments = explode('/', $mybb->input['url']);
                $mybb->input['url'] = $mybb->settings['bburl'].'/'.end($url_segments);
            } 

Du müsstest den Code so verändern, dass auch eine Weiterleitung zu deiner Website akzeptiert wird.

Danke, schau ich mir mal über das Wochenende an.

Könnte man diese Überprüfung nicht komplett rausnehmen? Was würde dadurch unsicherer?

Man könnte eine Weiterleitung auf eine Phishing-Seite, Viren-verseuchte Website oder fremde Seite provozieren. Ob das bei einem Forum relevant ist, kann man sicher diskutieren. Trotzdem ist es schon sinnvoll nur Weiterleitungen auf deine eigene Website zu erlauben.

Du kannst du erste Abfrage mit " && my_strpos($mybb->input['url'], 'https://example.com/') !== 0" beliebig ergänzen.

Danke!

bigfraggle

StefanT

bigfraggle

StefanT

bigfraggle