Vorbemerkungen

Es ist beinahe eine Selbstverständlichkeit, dass zum Funktions­umfang neuzeitlicher Content Management Systeme (CMS) eine Möglichkeit zur Bereitstellung von RSS- oder Atom-Feeds gehört und sei es nur, dass diese Möglichkeit durch ein zusätzliches Plug-In realisiert wird. Gleich ob es sich um Online-Magazine, Blogs oder sonstige Websites handelt, zu einem abgerundeten Online-Angebot gehören oftmals News­feeds.
Wie und in welchem Format diese Newsfeeds generiert werden, hängt hingegen nicht nur von den jeweiligen Anbietern ab, sondern von der verwendeten Software, welche die Anbieter zur Generierung der Newsfeed benutzen, wobei die Bereitstellung von mit HTML-Tags oder CSS formatierten Content in CDATA-Abschnitten eine gängige Praxis ist.
Wer nur Newsfeeds liest, braucht sich über die Bereitstellung und über die verwendeten Formate keine Gedanken zu machen. Völlig anders sieht es hingegen bei Webmastern aus, die einen Feed­reader in ihr eigenes Webangebot integrieren möchten, dabei auf Newsfeeds aus unterschiedlichen Quellen zugreifen. Wer dabei einen einfachen, selbstgebastelten Feed­reader für RSS- oder Atom-Feeds benutzt und nur Newsfeeds aus vertrauenswürdigen Quellen ausliest, um diese in eine seiner Webseiten zu laden, wird nur selten, unter Umständen nie Probleme bekommen. Er wird selbst dann kaum mit ernsthaften Pro­blemen rechnen müssen, wenn er sich gar keine Gedanken betreffend der Sicherheit macht.

Dennoch sollte eigentlich bei allen selbstgeschriebenen Scripts die Sicherheit nie vernachlässigt werden und so praktisch CDATA-Abschnitte für die Anbieter und Bereitsteller von Newsfeed auch sein mögen, ebenso einfach ermöglichen diese Abschnitte die Einschleu­sung von Schadcode, zumal keine Absicherung der Ausgabe mit htmlspecialchars oder htmlentities möglich ist, ohne HTML-Tags sicht­bar anzuzeigen. Falls es sich dann bei einem Anbieter von Feeds um ein schwarzes Schaf handeln sollte, könnte dieser diese Schwach­stelle ausnutzen.

Funktionsweise

Es sei bemerkt, eine hundertprozentige Sicherheit für Webanwen­dungen gibt es nicht und wer auf der Suche nach Schwachstellen ist, wird möglichweise fündig. Was jedoch nicht bedeutet, dass ein Programmierer eine Anwendung nicht absichern sollte. Für die Ausgabe von HTML haben sich dabei die beiden PHP-Funktionen htmlspecialchars und htmlentities bewährt.
Um nun mit HTML-Tags formatierten Hypertext bei der Ausgabe mit htmlspecialchars absichern zu können, werden in den vorgestellten Scripts (Versionen 1.04 bis 1.06) zuerst alle erlaubten HTML-Tags in BBCode umgewandelt und HTML-Tags, die nicht für eine Umwandlung und Ausgabe vorgesehen sind, entfernt. Bei der eigentlichen Ausgabe erfolgt zuerst eine Absicherung der Ausgabe mit htmlspecialchars, an der sich in einem zweiten Schritt die Zurückverwandlung der erlaubten Tags von BBCode in HTML-Tags an­schließt.

Weiterhin findet eine Überprüfung von Linkverweisen auf unerlaubte Zeichen und eine Überprüfung von in CDATA-Abschnitten referen­zierten Grafiken auf Vor­handen­sein statt, wobei nur Images mit dem MIME-Typ JPG oder PNG erlaubt werden. Zusätzlich werden über­große Grafiken auf ein durch den Anwender vorzu­gebenes Maß skaliert.

Verwendung und Lizenz

Die Web-Adresse eines Feeds sollte im editierbaren Bereich vor­gewählt werden. Weitere Feeds können durch Eingabe der URL aufgerufen werden, insoweit das zum Funktionsumfang des Scripts gehörende Formular eingeblendet wird.