friloo/Unifi-Voucher-Tool
1
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions 16

Security: OAuth-state, Verschlüsselung, Session-Timeout & weitere Härtung

Browse source 
- m365_callback.php: OAuth-state-Validierung gegen Login-CSRF
- includes/Crypto.php: Verschlüsselung-at-rest für UniFi-Passwörter
  (AES-256-GCM/libsodium) mit Klartext-Fallback für Bestandsinstallationen
- install.php: APP_KEY-Generierung + Reinstall nur mit Admin-Session
- Auth.php: absolutes Session-Timeout (SESSION_LIFETIME) durchsetzen
- index.php: CSRF + Throttle auch für anonyme öffentliche Voucher-Erstellung
- UniFiController.php: createVoucher liefert nicht mehr den falschen Code
  bei parallelen Erstellungen (note-Match statt blindes reset())
- display_errors in allen Entry-Points deaktiviert, log_errors aktiviert
- test.php & m365_debug.php hinter requireAdmin() (Info-Leak)
- m365_debug.php: abgeschnittene/kaputte Datei vervollständigt
This commit is contained in:
Claude 2026-06-05 18:45:47 +00:00
parent bf3e55a967
commit 3483da274f
No known key found for this signature in database
17 changed files with 306 additions and 36 deletions
Download patch file Download diff file Expand all files Collapse all files

5
config.php
View file

@ -6,6 +6,11 @@ define('DB_NAME', '');
define('DB_USER', '');
define('DB_PASS', '');
// Anwendungs-Schluessel fuer Verschluesselung-at-rest (UniFi-Passwoerter).
// Wird vom Installer automatisch mit einem zufaelligen Wert befuellt.
// Leer = keine Verschluesselung (Klartext, Legacy-Verhalten).
define('APP_KEY', '');
// Sitzungs-Einstellungen
define('SESSION_LIFETIME', 3600); // 1 Stunde