Das Content-Management-System des VfL Bochum ist eine absolute Katastrophe. Am Tag der Entlassung von Marcel Koller war mehrere Stunden vor Bekanntgabe der Entscheidung bereits eine entsprechende Pressemitteilung online. Diese war zwar nicht auf der Startseite sichtbar, man konnte sie allerdings aufrufen, wenn man die direkte URL kannte. URLs zu raten ist allerdings nicht schwer, sind sie doch immer nach diesem Schema aufgebaut:
http://www.vfl-bochum.de/webcache/Pressemeldungen__meldung_7423_6_de.htm
Wenn man nun mit den Zahlen am Ende ein wenig rumspielt (sprich: hochzählt), kommt man eventuell auf noch nicht veröffentlichte Artikel. Bei jedem billigen Blogsystem wird verhindert, dass nicht freigegebene Artikel einsehbar sind!
Nun ist einem User im westline-Forum ein neues Problem aufgefallen. Wieder durch Hochzählen einer ID sind verschiedene Spielerprofile einsehbar, z. B. Clemens Walch, Sören Bertram oder Faty Papy. Da auch Spieler wie Carlos Eduardo und Miroslav Klose vorhanden sind, glaube ich ja nicht, dass es sich um die Scouting-Datenbank des VfL handelt. Fest steht aber, dass dort Daten angezeigt werden, die da nicht hingehören und damit existiert ein nicht abzuschätzendes Sicherheitsproblem.
Update (14:09 Uhr): westline hat mal beim VfL nachgefragt:
Nach einem kurzen Telefonat steht fest:
Es handelt sich hierbei nicht um die Scouting-Liste des VfL-Bochum.Für den Ticker werden Spieler-Profile (von gegnerischen Mannschaften) generiert, hierbei findet sich natürlich auch der ein oder andere Dummie (sic!).
Das mit dem Dummie glaube ich gerne 
Kommentar von ruhrpoet
15. Januar 2010 um 13:53 Uhr
Ich glaube, die Profile liegen dort, weil die für den Live-Ticker benötigt werden. Aus diesem Grunde ist das Auftauchen von Klose und Co. nicht besonders dramatisch.
Kommentar von Martin
15. Januar 2010 um 14:02 Uhr
Nun, im Liveticker sind die Spieler aber nicht anklickbar. Also besteht gar keine Veranlassung, dass die Daten öffentlich sichtbar sind. Also besteht ein Sicherheitsproblem. Ich möchte nicht wissen, was noch alles öffentlich einsehbar ist, wenn man nur kreativ genug mit den URLs rumspielt.
Kommentar von ruhrpoet
15. Januar 2010 um 14:17 Uhr
Naja, wahrscheinlich nur das, was eh online gestellt würde. Aber ich gebe dir recht, es ist sicherlich eine Sicherheitslücke und auch ein grober Schnitzer. Allerdings müssen – soweit ich weiß – diese Profile angelegt werden, damit sie in der Datenbank für den Ticker erfasst werden können – anklickbar oder nicht
Kommentar von Martin
15. Januar 2010 um 14:38 Uhr
Siehe damals die Pressemitteilung zur Entlassung Kollers.
Aber danke für die weiteren Infos. Es wäre doch so einfach, das zu verbessern. Man müsste doch nur eine Visible-Spalte in der DB hinzufügen (und die natürlich auch abfragen
).