the-vdr-team team mailing list archive

["Gerald Dachs" <gda@xxxxxxxxxxx>]

> Man darf leider nie den Nutzereingaben (also den POST-Parametern in einem
> HTTP-POST-Request) vertrauen, weil Dir da alles mögliche geschickt werden
> kann, vom harmlosen Klamauk bis zum mehrzeiligen String, der die
> Lirc-Config völlig verändert und dort Sicherhheitslücken öffnet.
> Deshalb
> muss ein Check stattfinden, ob der Wert, der zurückgeschickt wurde, auch
> ein Wert ist, der in der FB-Liste von Lirc existiert.

Erlaube mir nur mal eine ketzerische Frage, ich tue es auch nicht wieder.
Müssen wir das wirklich so sicher machen? Ich hatte eigentlich gedacht,
dass das ein Frontend für das lokale Netz ist. Wenn einer das per port
forwarding ins Internet bringt, dann ist er selber Schuld. Die Art der
Einstellungen die wir im Frontend haben, machen remote einfach keinen
Sinn. Wozu will ich vom Urlaub aus die Fernbedienung konfigurieren, beim
Live-Plugin ist das was ganz anderes, deshalb ja auch die Trennung.

Gerald