Absicherung von BBCode-Links in PHP-Fusion – Fehlerbehebung und Sicherheitslücke im Link-System

Moderne Sicherheitsarchitektur für BBCode im CMS PHP-Fusion

Mit der Weiterentwicklung des Internets und der zunehmenden Automatisierung durch Bots sind klassische BBCode-Linkmechanismen in CMS-Systemen wie PHP-Fusion nicht mehr ausreichend sicher.Insbesondere das [url]-BBCode stellt seit Jahren einen zentralen Bestandteil von Foren, Kommentaren und Shoutboxen dar.

Heutige Risiken betreffen nicht mehr nur Spam, sondern auch manipulierte oder schädliche Weiterleitungen, die:

• externe Skripte ausführen können,
• automatisierte Requests (Crawler/Bots) auslösen,
• Benutzer auf gefährliche Webseiten umleiten,
• und potenziell Browser für Angriffe missbrauchen.

🔐 Grundprinzip der Absicherung

Die neue Implementierung basiert auf einer Zwischenschicht mit tokenbasierter Linkvalidierung.

Statt eines direkten Links:

https://example.com

wird ein gesicherter Zwischenlink erzeugt:

/f?url=...&ts=...&t=...

Technische Funktionsweise

1. Kein direkter Zugriff auf Ziel-URLs
   Alle externen Links werden über ein Zwischenskript (f.php) verarbeitet.
2. Zeitbasierte Tokens
   Jeder Link enthält einen HMAC-Token, der aus URL + Zeitstempel + geheimem Schlüssel besteht.
3. Ablaufzeit (TTL)
   Links sind nur für einen begrenzten Zeitraum gültig (z. B. 120 Sekunden).
4. Keine Wiederverwendung
   Abgelaufene Links können nicht erneut verwendet werden.