Öffentlicher Kalender ohne personenbezogene Daten

[mountainflo]

Aktuelles Verhalten in Version 4.0.X

Über die nicht passwortgeschützte calendar.php können bei direktem Aufruf der URL personenbezogene Daten (Vor-/Nachname und persönliche Mailadresse) abgegriffen werden. Dies ist eine Sicherheitslücke.

Wenn beim Aufruf der calendar.php kein User gesetzt ist, werden alle Proben/Konzerte inklusive der Teilnehmer mit deren Vorname, Nachname, Mailadresse ausgegeben.

Erwartetes Verhalten

Bei direktem Aufruf der calendar.php dürfen Externe ohne BNote-Account keinen Zugriff auf Namen und Mailadressen der Mitglieder bekommen.

Umsetzungsvorschläge

• Zugriff auf Kalender erfolgt nur, wenn auch ein in BNote vorhandener Username gesetzt wurde. (Anpassung der if-Abfrage in calendar.php, sodass bei $userid == null oder ungültigem Username keine Daten ausgegeben werden). Ohne Username wird somit überhaupt kein Kalender ausgegeben.
• ODER alternativ Personendaten (Namen und Mails) aus dem Kalender entfernen, wenn calendar.php ohne aktiven Username aufgerufen wird. Kalender wird dann in vereinfachter Form ohne Personendaten erstellt.

[mountainflo]

Am sichersten ist es, beim Aufruf der calendar.php ohne Username gar keine Daten auszugeben.

Wenn Mitglieder von Musikgruppen über die calendar.php einen allgemeinen Kalender (.ics) und keinen user-bezogenen Kalender zur Synchronisation für mobile Geräte & Co. abrufen möchten, geht diese Funktionalität natürlich verloren.

Bin offen für Diskussionen und Ideen, was die bessere Umsetzung ist, sowie auch für weitere Umsetzungsvorschläge.

Wenn geklärt ist, welche Lösung umgesetzt werden soll, übernehme ich sehr gerne die Erstellung eines Pull Requests für dieses Issue.