Php talkchess ...

By Olaf Jenkner Date 2026-10-23 10:16

Ich war mutig und habe mal reingeschaut.
Da fragt doch einer, ob man CSS meiden solle wegen der PHP-Lücke.

By Klaus S. Date 2026-10-23 10:31

Ich find's eigentlich nicht lustig.
Eine prof. Einschätzung wäre hilfreich.

By Volker Pittlik Date 2026-10-23 12:08 Edited 2026-10-23 12:11

Klaus S. schrieb:

Ich find's eigentlich nicht lustig.
Eine prof. Einschätzung wäre hilfreich.

Als exprof. und ex-Betreiber eines phb Forums: es kommt darauf an, möglichst schnell den phb-patch einzuspielen. Ich betreibe hier ein Synology DiskStation, die übers Inet erreichbar ist und dazu phb brenutzt.

Der Patch von Synology kam gestern. Die Aktualisierung dauert nur wenige Sekunden. Was talkchess angeht, ist dieser Thread aufschlussreich: https://talkchess.com/viewtopic.php?t=86880. Was mich zur Zeit am meisten an talkchess nervt sind die grausamen Antwortzeiten und der Berechtigungswirrwarr. Ob php dort upgedated wurde? Nach den mir zugänglichen Information und dem allgemeinen Zustand des Forums schätze ich die Wahrscheinlichkeit dafür auf 0.25.

Volker

By Max Siegfried Date 2026-10-23 16:20

https://chessbase.de/support

Diese Verbindung ist nicht privat
Risiko
Wenn du diese Website besuchst, könnten deine Passwörter, Nachrichten oder Zahlungsdaten offengelegt werden.
Blockierte Website: chessbase.de
Das Sicherheitszertifikat der Website gehört zu einer anderen Domain. Dies könnte ein Einrichtungsfehler oder ein Versuch sein, die echte Website zu fälschen. Wenn du dieser Website vertraust, wende dich bitte an ihren Besitzer, um das Problem zu beheben.

Das Problem hatte ich bei ChessBase früher nie und vor wenigen Wochen auch nicht.

Wer guten Kontakt zu ChessBase hat, kann ihnen gerne Bescheid sagen.

By Klaus S. Date 2026-10-23 20:47

Also besser Finger weg?

By Max Siegfried Date 2026-10-23 22:06

Ja.
Das gilt für alles bis man die Bestätigung hat, dass es sicher ist.
2-Wochen bis 2-Monate sollte ausreichend sein, je nach Webseite.

By Volker Pittlik Date 2026-10-24 04:18

Klaus S. schrieb:

Also besser Finger weg?

Das habe ich mich, nachdem ich gepostet hatte, auch gefragt. Wenn ich es richtig verstehe, ist von einem möglichen Angriff in erster Linie der Anbieter betroffen. (Extremszenario: talkchess wird von Trollarmee übernommen, die für die Rückgabe 25 Phantastillionen Bitcoins fordert.)

Die Gefahr für den Nutzer hängt meiner Einschätzung nach davon ab, was talkchess über den Nutzer gespeichert hat. Die Passwörter werden verschlüsselt gespeichert. Falls ein potentieller Angreifer die Verschlüsselung knackt und das Nutzerpasswort mehrfach verwendet wird, halte ich das für einen möglichen Angriffspunkt. Das geht aber über die php Schwachstelle hinaus und bei den Passwörtern steht auch der Nutzer in der Verantwortung.

Bei privaten Nachrichten sieht es anders aus. Die werden im Klartext in der Datenbank abgelegt. (Zumindest behauptet Claude das. Ich kann mich nicht erinnern, zu meinem Adminzeiten da reingeschaut zu haben und ob ich das lesen konnte.) Claude hat mich zu den Passwörten auch verbessert:

Zitat:

Passwörter sind übrigens streng genommen nicht verschlüsselt, sondern gehasht. Ein Hash ist eine Einwegfunktion: Aus dem gespeicherten Wert lässt sich das Passwort nicht zurückrechnen. Beim Login wird die Eingabe erneut gehasht und mit dem gespeicherten Wert verglichen. phpBB 2 verwendete einfaches MD5, phpBB 3.0 phpass, und seit 3.1 kommt bcrypt bzw. Argon2 zum Einsatz.

Wenn also jemand auf die (meines Erachtens abwegige) Idee gekommen sein sollte, vertrauliche Daten über eine private Nachricht in talkchess zu verschicken, wäre dort ein möglicher Angriffspunkt gegen den einzelnen Nutzer. Für den Normaluser der sich auf themenbezogene Nachrichten beschränkt und ordentliches Passwortmanagment betreibt, sehe ich keine unmittelbare Gefahr.

Wie es um die Chatfunktion in talkchess bestellt ist, kann ich nicht beurteilen.

Volker

By Wolfram Bernhardt Date 2026-10-25 11:17

Nein.

Die PHP-Lücke ist in erster Linie eine Gefahrt für die Betreiber von Web-Seiten. Und mittelbar für Leute, deren Daten dort liegen.
Das sollte sich bei Talkchess in Grenzen halten.

Dass dort Schad-Code für Besucher eingeschleust wird, ist zwar auch denkbar - aber das ist bei jeder Webseite der Welt denkbar und für solche Gefahren sind gängige, aktueller Browser recht gut gerüstet.

Viele Grüße
Wolfram