Stefan Hacker
c3070469c1
- CSRF-Schutz: session-gebundenes Token in allen POST-Formularen, serverseitig per before_request geprueft; /nic/update ausgenommen (Basic-Auth-API) - Brute-Force-Schutz: DB-gestuetzter Login-Lockout pro Client-IP (5 Fehlversuche -> 15 min), echte IP via ProxyFix/X-Forwarded-For - SSRF: validate_plesk_url() erzwingt http(s) und blockt Link-Local/Metadata, Multicast und reservierte Ziele - Session-Cookies: HttpOnly, SameSite=Lax, Secure (per Env abschaltbar) - Security-Header: CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy - Generische Plesk-Fehlermeldungen (keine internen URLs im UI) - CSS/JS nach static/ ausgelagert -> strikte CSP ohne 'unsafe-inline' - login_attempts-Tabelle + README-Security-Abschnitt Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
11 lines
365 B
JavaScript
11 lines
365 B
JavaScript
// Bestätigungsdialog für Formulare mit data-confirm — ersetzt inline onsubmit,
|
|
// damit die CSP ohne 'unsafe-inline' für script-src auskommt.
|
|
document.addEventListener('submit', function (e) {
|
|
var form = e.target;
|
|
if (form && form.dataset && form.dataset.confirm) {
|
|
if (!window.confirm(form.dataset.confirm)) {
|
|
e.preventDefault();
|
|
}
|
|
}
|
|
});
|