Hallo zusammen,
mir ist aufgefallen, dass im Event-Monitor folgende Fehlermeldung erscheint, wenn HTTPMOD ein Reading anlegt, das HTML-Code enthält:
jquery.min.js line 4:
Uncaught SyntaxError: Unexpected token '<'
Ich bin da überhaupt kein Experte, aber wird da versucht, den Inhalt des Readings als Code auszuführen?
Falls ja, könnte das nicht als Angriff benutzt werden? In etwa so: Ein Angreifer präpariert eine HTLM-Seite mit Code, FHEM ruft den Code per HTTPMOD ab und führt ihn aus?
Falls ich falsch liege, bitte sorry für die Fehlmeldung...
Kann ich nicht auf Anhieb nachstellen, d.h. ich brauche eine konkrete Anleitung.
Am besten zusammen mit der Anzeige der JavaScript-Stacktrace, das kriegt man in der JavaScript-Konsole des Browsers, wenn man da die Fehlermeldung im Rot aufklappt.
Ich erstelle folgendes HTTPMOD:
defmod httpmod_test HTTPMOD https://www.terminland.de/impfzentrum-frankfurt/
attr httpmod_test reading1Name Termine
attr httpmod_test reading1RegOpt gs
attr httpmod_test reading1Regex <!DOCTYPE html>(.*)
Dann den Event-Monitor starten und set httpmod_test reread senden.
Es erscheint dieser Javascript-Fehler in Chrome:
Uncaught SyntaxError: Unexpected token '<'
at eval (<anonymous>)
at jquery.min.js:2
at Function.globalEval (jquery.min.js:2)
at text script (jquery.min.js:4)
at Pc (jquery.min.js:4)
at x (jquery.min.js:4)
at b (jquery.min.js:4)
at Object.send (jquery.min.js:4)
at Function.ajax (jquery.min.js:4)
at Function.m._evalUrl (jquery.min.js:4)
Im Event-Monitor wird HTML angezeigt inkl. nicht ladbarer Bilder.
Danke, habs gefixt.
Da fehlt IMHO noch eine Klammer, denn der Event-Monitor sagt nun:
console.js line 81:
Uncaught SyntaxError: missing ) after argument list
$("#console").append(logContent+ncA.join(isTa?"\n":"<br>");
Danke fuer den Hinweis, habs gefixt, und auch fuer FHEM-update zur Verfuegung gestellt.
Ich wundere mich, wie das passieren konnte, ich habe es mehrfach mit unterschiedlichem Inhalt getestet.
Prima, jetzt geht es hier und der Fehler ist gefixt :)
Danke,
Alex