Neu Admin Logout bzw. CSRF Problem

[ichhabnefrage]

Hallo,

nach langer Zeit Abstinenz wollte ich nun den neuen JTL Shop 4.0.5 einrichten.

Klappte auch alles wunderbar, beim Sicherheitspatch V2 hatte ich zwar ein paar Probleme aber sonst, alles nur Kleinigkeiten.

Aber, anscheinend hat der Shop ein schwerwiegendes Problem mit Cross Scripting Anweisungen.

Nachdem ich im Admin immer fröhlich beim Speichern meiner Angaben ausgeloggt wurde, dachte ich erst an ein Session Problem. Also alles Relevante in der php.ini erhöht, Problem bleibt.

Nginx ausgeschaltet, mehrere PHP Versionen getestet, alles ohne Erfolg.

Außerdem ist mir aufgefallen dass bei der Neuanmeldung im Admin immer öfter die CSRF Fehlermeldung kommt.

Ergo verliert der Shop während der Arbeit im Adminbereich den Token.

Das würde z. B. auch erklären warum der EVO Lifestyler nicht funktioniert. Wahrscheinlich ist man zu 99% direkt nach dem Adminlogin schon auf der Abschussliste.

Bin für jeden konstruktiven Lösungsvorschlag offen und bedanke mich schon einmal vorab.

Viele Grüße

Manfred

 

[elevennerds.de]

Die Session ist immer an den Hostnamen gebunden, prüfe bitte, ob Dein Admin-Menu nur über einen Hostnamen erreichbar ist:

http://www.domain.de/admin
http://domain.de/admin
https://www.domain.de/admin
https://domain.de/admin

MfG

Rene

 

[ichhabnefrage]

Hallo Rene,

ja, grundsätzliche Erreichbarkeit nur via https://www.domain.de/admin

Viele Grüße

Manfred

 

[ichhabnefrage]

So nun habe ich das Problem eingegrenzt.

Ich habe mir mal die Cookies angesehen und festgestellt dass die vom Shop gestzten Cookies immer ein negatives Ablaufdatum, sprich Uhrzeit hatten.

Nun habe ich im Shopbackend die Cookiebehandlung komplett leer gelassen, nur Secure und HTTPOnly angeschaltet.

Jetzt bleibt der Adminlogin eine Zeit erhalten und es kommen auch keine CSRF Meldungen mehr.

Bei der Nachkontrolle sieht man auch das der Cookie nun auf Session steht. Da gehe ich mal von aus dass er nun die max Lifetime nimmt aus der php.ini

Schaue mir das jetzt mal ein paar Tage an und wenn alles so bleibt kann das Thema zu.

Viele Grüße

Manfred