CMS selber Programmieren?

[1unitedpower]

Ich sags mal so: Mein eigenes CMS kann man herunterladen und es wurde, obwohl ich viele besondere Freunde in computeraffinen, kriminellen Szenen habe, seit anno asbach (2003?) nie gehackt.

Hab 10 Minuten in deinen Code geschaut.

Datei: kommentar.speichern.php Zeile: 113:

location.href="<?php echo $_POST['GoTo']; ?>";

$_POST['GoTo'] wird nicht escaped, auch vor dieser Zeile nicht. Das öffnet die Türen sperrangelweit für XSS-Angriffe. Wer im Glashaus sitzt…

Edit: Die gleiche Sicherheitslücke tritt auch noch in AdminBilderBackup.php:33 und AdminBilderUpdate.php:61 auf.