[php] Zeitkontrolle

[Peter Prochaska]

Hi,

Sebastian Mendel wrote:
> Ohne jetzt den ganzen Thread zu lesen,  was bestimmt auch für diese 
> Aussage nicht nötig ist: Wieso?

Was viele nicht wissen ist, dass an $_SERVER['PHP_SELF'] ein Anhängen 
von bösem js-Code möglich ist.

http://www.example.com/index.php/"><script>alert('XSS')</script><

Verwendest du dann $_SERVER['PHP_SELF'] in einem Form-Tag, sieht das 
Ganze so aus:

<form action="index.php/"><script>alert('XSS')</script>< method="POST">

Gruss
-- 
Peter Prochaska
Internet- und Securitydienste, P544
DATEV eG
Tel: +49 911 276-5187