Filemanager: Laden von Javascript für bestimmte Pfade erlauben

[dawuid]

Hallo,
wir verwenden derzeit noch Version 14.3.007.
An unserer Schule wird der Vertretungsplan in mehreren HTML-Dateien automatisiert über WebDAV in den Filemanager hochgeladen. Die Benutzer haben dort nur Leserechte.
Bei der Ansicht des Vertretungsplans wird jedoch Javascript verständlicherweise nicht ausgeführt, wegen der Sicherheitsvorkehrungen bzgl XSS!

because it violates the following Content Security Policy directive: “script-src ‘none’”.

Wie und wo kann ich das Laden von JS für einen bestimmten Pfad erlauben?
Wird sehr wahrscheinlich nicht updatesicher sein, wäre aber ok. (Langfristig würde ich evtl. dafür ein Plugin schreiben.)

Danke für eure Hilfe und viele Grüße, Axel

[Ralf_Becker_Stylite]

Hallo Axel,

Hallo,
wir verwenden derzeit noch Version 14.3.007.
An unserer Schule wird der Vertretungsplan in mehreren HTML-Dateien
automatisiert über WebDAV in den Filemanager hochgeladen. Die Benutzer haben
dort nur Leserechte.
Bei der Ansicht des Vertretungsplans wird jedoch Javascript
verständlicherweise nicht ausgeführt, wegen der Sicherheitsvorkehrungen bzgl
XSS!

because it violates the following Content Security Policy directive:
“script-src ‘none’”.
Wie und wo kann ich das Laden von JS für einen bestimmten Pfad erlauben?
Wird sehr wahrscheinlich nicht updatesicher sein, wäre aber ok. (Langfristig
würde ich evtl. dafür ein Plugin schreiben.)

Gibt keine direkte Möglichkeit JS im Dateimanager zu erlauben.

Du kannst folgendes machen:

• erstelle ein Verzeichnis in Deiner Docroot das vom Webserver
  beschreibbar ist
• mounte diese per filesystem-streamwrapper in das VFS:

https://github.com/EGroupware/egroupware/blob/master/api/src/Vfs/Filesystem/StreamWrapper.php#L35

Dann kannst Du wie gewohnt per WebDAV die Datei aktualisieren und per
direkter URL funktioniert auch JS.

Ralf

Danke für eure Hilfe und viele Grüße, Axel

–
Ralf Becker
Director Software Development

Stylite AG

Isaac-Fulda-Allee 9 | Tel. +49 6131 32702-0
D-55124 Mainz | Fax. +49 6131 32702-70

Email: rb@stylite.de

www.stylite.de | www.egroupware.org

Managing Directors: Andre Keller | Gudrun Mueller
Chairman of the supervisory board: Prof. Dr. Birger Leon Kropshofer

VAT DE214280951 | Registered HRB 46224 Mainz Germany

[dawuid]

Hallo Ralf,

danke für deine Antwort.

Evtl. kann mir jemand noch über eine Hürde helfen:
Den Befehl konnte ich ausführen, sehe aber das Verzeichnis (‘testmount’) nicht im Dateimanager. Irgendwie habe ich noch ein (Denk-) Fehler dabei.

/filemanager/cli.php mount ‘filesystem://root_admin:PASSWORD@default/var/www/html/testmount?user=wild’ /home/wild/testmount

Root access granted!
filesystem://root_admin:PASSWORD@default/var/www/html/testmount?user=wild successful mounted to /home/wild/testmount

Das Feature finde ich übrigens extrem cool!!!

Danke und viele Grüße, Axel

[OldMan6135]

---

What NetFlow Analyzer can do for you? Monitors network bandwidth and traffic
patterns at an interface-level. Reveals which users, apps, and protocols are
consuming the most bandwidth. Provides multi-vendor support for NetFlow,
J-Flow, sFlow and other flows. Make informed decisions using capacity planning
reports.http://sdm.link/zohodev2dev

[Ralf_Becker_Stylite]

Hi Angelika,

Hallo allerseits,

durch ein ‘apt update’ wurde heute auf meinem Ubuntu 14.04 Server
(unbeabsichtigt) von egroupware 14.3 auf egroupware 16.1 aktualisiert.

Dabei konnte der Upgradeprozess von egroupware allerdings keinen
Zugriff auf die MySQL-Datenbank von egroupware herstellen (s.
Fehlermeldung). Das hat dazu geführt, dass die Datenbank noch immer
den Stand von egroupware 14.3 hat, die Programmpakete jedoch bereits
auf 16.1 aktualisiert wurden und per Webbrowser nicht mehr auf
egroupware zugegriffen werden kann.

Ich denke , dass der Datenbankfehler dadurch aufgetreten ist, dass der
MySQL-Server durch ‘apt’ ebenfalls aktualisiert wurde und der
MySQL-Daemon beim egroupware Upgrade infolgedessen heruntergefahren war.

Die Fehlermeldung im Egroupware-Installationslog lautet:
-------------------- schnipp -------------------------
EGroupware API Version 16.1.002 gefunden.
EGroupware Konfigurationsdatei (header.inc.php) Version 1.29 existiert
und ist aktuell
Ihre Datenbank funktioniert nicht!
mysql://egroupware:=;@E<FhW&LaE)yeE@localhost/egroupware:
Installation failed --> exiting!
-------------------- schnipp -------------------------

Den Zugriff auf MySQL und die egroupware-Datenbank habe ich überprüft.
Er funktioniert (mit dem egroupware-DB-User/Passwort) fehlerfrei.

Meine Frage ist nun was ich tun muss, damit egroupware wieder
funktioniert. Ich habe mir zwar bereits mit Hilfe von Google ‘einen
Wolf’ gesucht. Zu dem Thema habe ich jedoch keine Lösung gefunden.

Also am einfachsten ist das Update auf 16.1 fertig zu machen:

sudo /usr/share/egroupware/doc/rpm-build/post_install.php

Das kann man immer aufrufen, es bringt nur die Datenbank auf den
Versionsstand der Sourcen.

Ralf

Jetzt schon einmal Danke für Eure Hife

Viele Grüße
Stefan

Weitere techn. Infos
OS = Ubuntu Server 14.04.4
egroupware Repository über Opensuse Buildservice eingebunden
egroupware Releasestand der installierten deb-Pakete ist 16.1.20160715

–
Ralf Becker
Director Software Development

Stylite AG

Isaac-Fulda-Allee 9 | Tel. +49 6131 32702-0
D-55124 Mainz | Fax. +49 6131 32702-70

Email: rb@stylite.de

www.stylite.de | www.egroupware.org

Managing Directors: Andre Keller | Gudrun Mueller
Chairman of the supervisory board: Prof. Dr. Birger Leon Kropshofer

VAT DE214280951 | Registered HRB 46224 Mainz Germany

[OldMan6135]

---

What NetFlow Analyzer can do for you? Monitors network bandwidth and traffic
patterns at an interface-level. Reveals which users, apps, and protocols are
consuming the most bandwidth. Provides multi-vendor support for NetFlow,
J-Flow, sFlow and other flows. Make informed decisions using capacity planning
reports.http://sdm.link/zohodev2dev

[manuel]

Hi Angelika

Ich dir nur folgenden Tip geben, verlass dich nicht drauf das es bei neuen
Versionen ein neues Repository gibt.

1. immer wenn du einen apt-get upgrade machst, werden dir die Pakete angezeigt die es berührt. So
   siehst du was ungefähr passiert. Das hilft dir Schwerpunkte zu setzen beim Testen und Fehlersuche.
   Wenn die Liste angezeigter Pakete nicht mehr auf einem Bildschirm passt solltest du regelmässiger
   die Updates einspielen

2. Setze Pakete, die nur in speziellen Fällen einen Update kriegen, auf “hold”. Entweder machst du
   das mit apt (siehe Link) oder du führst Updates nur mit aptitude durch. Dort kannst du sie auch händich
   auf hold setzen -> https://wiki.debianforum.de/Pakete_auf_hold_setzen

Gruß,
Manuel

----------------ursprüngliche Nachricht-----------------

[dawuid]

Hallo,

(also irgendwie ist hier jemand in meinen Beitrag gekrätscht.)
Dein Vorschlag mit dem mounten des Verzeichnisses funktioniert und die Seite wird über die direkte URL geladen…

Aber mir fällt leider kein eleganter Weg ein, nun wieder Externe vom Zugriff darauf auszuschließen, ohne die EGroupware-User ebenfalls auszusperren.
Ich bin schon die ganze Zeit am Grübeln, vielleicht hat jemand einen extrem eleganten Einfall.

Meine Lösung wäre momentan, das Verzeichnis per .htaccess zu schützen (und evtl. bei jedem Upload dort die Logindaten zu ändern.) Im Dateimanager müsste ich dann eine entsprechende Datei zur Verlinkung ablegen. Naja

Viele Grüße, Axel Wild