[XxAnimusxX]

Guten Tag Mybb-Community,

ich habe gestern eine Begegnung in meinem MyBB-Projekt gehabt, welches mich dazu gezwungen hatte das Projekt offline zu nehmen.
Ich war über die Tage bei einem Freund und hatte mich von seinem PC über in meinem Board eingeloggt und blieb hierbei automatisch eingeloggt - abgemeldet habe ich mich nicht, da ich dachte das dies in ner bestimmten Zeit eh automatisch passiert.
Als ich dann am nächsten Tag zuhause war und mich selbst einloggte um einige Forenbeiträge zu bearbeiten, kam mein Freund zufällig online und sagte mir, das er als Gast Vollzugriff habe! Er konnte Threads löschen, Beiträge bearbeiten usw (zum Glück wusste er nichts von der Existenz des AdminCP's).

Als er dann anfing Beiträge mit meinem Account zu schreiben wurde es mir klar; er war mit seinem Browser mit meinem Account unterwegs.
Und das ist auch der Punkt der mich wundert; wie kann es sein das MyBB nicht erkennt, das 2 verschiedene Leute mit verschiedenen IP's mit dem gleichen Account eingeloggt sind? Ich bekam einen so großen Schreck, dass ich das Projekt sofort offline nahm um eine Lösung hierfür zu finden.

Was kann ich nun machen, damit er aus den Sessions gekickt wird? Ich kann nicht darauf vertrauen das er seine Cookies löscht oder sich freiwillig abmeldet, ich finde es schon komisch genug das die Forensoftware sowas zulässt, aber ich brauche eine Methode wie ich verhindern kann, dass dies in Zukunft passiert.

PS: Ich werde das Projekt solange offline halten, bis ich eine Lösung hierfür habe. Deswegen wäre ich sehr angetan wenn man mich in dieser Sache supporten könnte :>

[Don Carlos]

Das ist keine Sicherheitslücke des MyBBoards, sondern liegt an deiner Schusseligkeit.
Wenn du einem anderen Browser erlaubst, sich automatisch an deinen Zugang zu erinnern, musst du dich dort auch wieder ordentlich ausloggen.
Wie soll die MyBBoard-Software Unterschiede bei der IP machen, die sich hier in Deutschland eh jeden Tag ändert?

Wenn du deinem Freund nicht vertrauen kannst, musst du deinen Zugang ändern. Einfach neues PW wählen reicht schon.

[Michael]

Dem kann ich nur zustimmen. Es sollte reichen als neues Passwort wieder das alte zu wählen, da auch der loginkey aktualisiert wird.

[Sebijk]

(zum Glück wusste er nichts von der Existenz des AdminCP's).

Und selbst wenn, dann müsste er deinen Kennwort herausfinden, um sich da einloggen zu können, außer du hast da eine Admin-CP Session nicht geschlossen. Dann kann er es im Browser in der Adressleiste mit der Session-ID aufrufen. Dies sollte aber sehr unwahrscheinlich sein, da die IP sich beim Einwählen ändert, beendet MyBB automatisch die Admin-CP Session, sobald einer das Admin-CP über eine Session-ID aufruft.

Dein Freund ist zwar eingeloggt, aber für Kennwort & E-Mail ändern, benötigt er ebenfalls dein Kennwort.

[bmr]

Um sich das ausloggen zu sparen, kannst du im Benutzer Control-Panel -> Optionen ändern unter Login, Cookies und Privatsphäre einfach die Option: Bei Rückkehr automatisch einloggen deaktiveren.

Dann wird das zuständige Cookie beim Schließen des Browsers gelöscht.