Filemanager 0.2.3: Zugriff außerhalb uploads-Ordner

[m266]

Hallo zusammen,

ich habe gerade festgestellt, dass die Gruppe der Editoren auch Zugriff auf Ordner außerhalb von uploads hat, was natürlich ein Risiko darstellt. M. E. sollte dieser Zugriff nur den Admins gestattet sein.
Ist dies bekannt?

[LeisureLarry]

Aus meiner Sicht sollte niemand Zugriff auf was anderes als Uploads haben, was meines Wissens auch der Standard ist. Hab jedoch gestern bei nem Kunden auch gesehen, daß der Filemanager im Root statt in Uploads gestartet hat. Jedoch keine Ahnung woran das liegt.

Grüße aus Nürnberg
LeisureLarry (interiete.net)

[m266]

Bei den Einstellungen des Filemanagers lässt sich der erweiterete Modus aktivieren. Dies ist für den Admin sinnvoll, um z. B. Dateien/Module zu löschen, welche vom CMS installiert wurden. Per FTP geht das wg. Eigentümerrechte oft nicht.
Ein Editor sollte darauf keinen Zugriff haben. Dies ist das Problem, dass die erweiterten Berechtigungen nicht auf den Admin beschränkt sind, sondern für alle Gruppen gelten.

m266

[RonnyK]

Im settings von FileManager kann man der Cehckbox ancliken damit man "Advanced mode" einschaltest, damit ist nicht von "Uploads" down verfugbar, aber von CMS-root down.....

Ronny

[m266]

Hallo Ronny,

das ist ja bekannt. Nur sollten die Editoren nicht in das Root kommen.


m266

[RonnyK]

OK, ich verstehe...... Diese anderung ist schon an Silmarillion gefragt (er ist der developer von FM)....

Ronny

[cyberman]

ich habe gerade festgestellt, dass die Gruppe der Editoren auch Zugriff auf Ordner außerhalb von uploads hat,

Dann hast du die Berechtigungen falsch eingestellt  .

Hab gerade mal in den Source geschaut - deaktivier für die Editor-Gruppe die Berechtigung "Modify Site Preferences" und gut ist ...

PS: Möglicherweise wird auch die falsche Berechtigung abgefragt -  sollte möglicherweise "Advanced usage of the the File Manager module" sein  .

[m266]

Ein Satz mit "X":

Die Berechtigung "Modify Site Preferences" ist nicht gesetzt.

Also nix gut iss


Gruß m266

[cyberman]

Hmm, seltsam - lokal unter Xampp funzt es, online aber nich ... wenn die Berechtigung "Modify Site Preferences" nicht gesetzt ist, ist online lediglich die Registerkarte "Einstellungen" weg.

Aber Sil scheint ja schon dran zu sein ...