Löschliste bereitstellen

[Tom]

Hello P.,

• die Elemente des verbliebenen Arrays in einer Schleife durch-
           geht und eine Ausgabe mit den Dateinamen und einer Checkbox
           davor erstellt. Das ist ein Formular, das beim Submit das
           Skript wieder aufruft, das dann mit unlink() die zum Löschen
           ausgewählten Dateien entfernt

Und eben genau hier liegt der Fehler. Löschen ohne Session ist Genickbruch auf Raten für den Server. Es darf keinesfalls der per Post übertragene Klartextname der Datei dazu benutzt werden, diesen direkt in die Unlink-Anweisung einzusetzen.

Hier muss dringend nochmal überprüft werden, ob dieser Name auch in der Liste der erlaubten Dateien vorhanden ist, also ob der Pfad zum Verzeichnis passt und der User die Datei überhauot löschen darf.

Sonst könnte jede Datei des Systems, auf die der Perl-User passende Rechte hat, gelöscht werden.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg