Sicherheitslücke mit Jonny F

[Tom]

Hello,

<form action=" <?php echo $_SERVER['PHP_SELF']; ?> " method="POST">

Das ist eine ganz schlechte Idee, weil darüber eine XSS-Lücke aufgemacht wird.

Hingegen wäre

<form action="<?php echo $_SERVER['SCRIPT_NAME']; ?>" method="POST" target="fenstername">

hast vollkommen recht

Das lässt sich übrigens auch ohne JavaScript missbrauchen und das achtion-Ziel damit verändern.
Da der Browser das bei Klick auch einen Formular-Button nicht anzeigt, wohin die Reise geht, merkt man es dann erst hinterher, aber auch nur, wenn man aufmerksam die Adressleiste beobachtet.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg