Modul-Verwaltung: Direktes Einbinden der modinfo.inc.php ein Sicherheitsleck?

[k00ni]

In der mod.php im Ordner \"admin\" wird direkt die modinfo.inc.php per include \"eingebunden\":
 

include(\"$pdir_mod/$dat/modinfo.inc.php\");

 
 
Meine Frage ist nun, ob das zu Sicherheitsproblemen führen könnte? Man stelle sich ein kompromitiertes Modul vor und der ahnungslose User bindet es ein.
Bei der Installation dasselbe. Dort wird direkt die modinstall.inc.php eingebunden.
Es ist der einfachste Weg. Nur die Frage ist, in wie weit das zu Problemen führen könnte.

[Powie]

Tja, ...... wenn du davon ausgehst, sobald du ein \"böses\" Modul eingebunden hast, ist es wohl egal ob er die modinfo.inc.php includet oder andere Files daraus installiert und / oder ausführt. In dem Fall ist jedes php Script aus deiner Sicht ein Sicherheitsleck.
Dagegen hilft dann nur: Kein php verwenden!  /uploads/emoticons/icon_e_wink.gif.c059000ae48ff64afa53be0962c021f2.gif\" alt=\":wink:\" />

In der mod.php im Ordner \"admin\" wird direkt die modinfo.inc.php per include \"eingebunden\":[/quote]
Das ganze Konstrukt dort ist kein Sicherheitsproblem - zumindest nicht so lange kein malizöser Code in $pdir_mod/$dat/ abgelegt werden konnte. Aber das Konstrukt ist ziemlich pointless und doppelt anfällig für Race Conditions.

[k00ni]

Aber das Konstrukt ist ziemlich pointless und doppelt anfällig für Race Conditions.[/quote]
Was schlägst du vor?

Was schlägst du vor?[/quote]
Refactoring.