QFQ

Security Check realpath : to prevent certain attacks we could use the PHP function realpath() on all absolute paths before accessing the file and make sure that the path is inside our App directory.

Problem: the file must exist, otherwise realpath() returns false. In many places in our code we construct an absolute path to a file or folder which might not exist and if it doesn't, it is created. Therefore we cannot use this simple check here.

Out of all 47 places where an absolute path is computed most of them are concatenations of path constants which do not pose a security risk. There is only one dynamic path where we access a file which must exist: When we execute a script using the _script column. But the realpath check would only give a small security benefit here, since the path to the script is never user generated.

A much simpler security feature would be to disallow double dots /../ in user generated paths. Of the 47 places where absolute paths are computed there is not one which would need to allow /../

• Gerade bei den Scripts koennte es gewuenscht sein sowohl mit '..' als auch ausserhalb des App Dirs zu arbeiten.
• Auf den I-MATH Server liegen viele Scripts, die von QFQ getriggert werden, unter `/etc/scripts` - das ist sinnvoll da man so nicht identische Scripts an mehreren Stellen hat. Also Einschraekung auf 'App Dir' ist keine gute Ueberlegung.
• Andere Admins setzen ihr System anders auf. Ggfs. benoetigen Sie '..' - wenn realpath() 'on the fly' die Pfade anpasst, haette ich noch wenig Sorgen, aber '..' zu verbieten laesst bei uns das Telefon klingeln ...

D.h. wir koennen diese Sicherheits Intitiative vermutlich abbrechen.

ok, lassen wirs.

Habe schon eine Funktion geschrieben, die testet ob '..' vorkommt in einem Pfad. Lasse die mal drin. vielleicht brauchen wir sie mal. siehe commit 86697ebb