Arms24 - KOSTENLOSE Auktionsplattform

[Fyodor]

Hallo!

Ich wollte mich gerade auf Eurer Plattform registrieren, aber daran scheitere ich noch:

• Die Formularfelder sind falsch benannt, so daß AutoComplete die PLZ in das Stadt-Feld und andersrum schreibt.Andere Felder werden gar nicht automatisch befüllt.

• Die Bestätigungsmail kommt nicht vernünftig formatiert an.

• Content-Transfer-Encoding: quoted-printable =0D =0D =0D =0D =0D =0D =0D =0D =0D
  =0D Versteigern - Tauschen - Kaufen | Auktion Arms24.com=0D =0D  =0D
  =0D =0D
  =0D
  Hallo Fyodor!
   
  =0D
  Willkommen bei Versteigern - Tauschen - Kaufen | Auktion Arms2= 4.com
   
  =0D
  Vielen Dank für Ihre Registrierung!
   
  =0D
  Wir begrüßen Sie als neuestes Mitglied in einer große= n Familie. Bevor Sie nun Versteigern - Tauschen - Kaufen | Auktion Arms24= .com nutzen können, bitten wir Sie, Ihre Registrierung wie folgt zu = bestätigen.
   
  =0D
  Bitte auf nachfolgenden Link klicken, um Ihre Registrierung zu best&au= ml;tigen:
• Der Bestätigungslink funktioniert nicht, es ist gar kein Link. Aber auch wenn ich die Zeile manuell kopiere, erhalte ich nur eine Fehlermeldung. Ich kann daher die Registrierung nicht abschließen.
• Aber nun das schlimmste zum Schluß: In der Bestätigungsmail werden alle Anmeldedaten im Klartext verschickt. Inklusive Passwort! Das macht man eigentlich nicht bei selbst vergebenen Passwörtern, und auch bei generierten Einwegpasswörtern werden diese üblicherweise nicht in der selben Mail wie die Nutzerkennung verschickt.

[arms24]

@fyodor

Vielen Dank für deine Registrierung! Wir haben dich soeben freigeschaltet. Du kannst nun sehr gern etwas einstellen. Bzgl. deinen genannten Problemen, sind wir aktuell noch am arbeiten.

Danke für deine Unterstützung !

Und wieder einer mehr.

[shruggman]

Aber nun das schlimmste zum Schluß: In der Bestätigungsmail werden alle Anmeldedaten im Klartext verschickt. Inklusive Passwort! Das macht man eigentlich nicht bei selbst vergebenen Passwörtern, und auch bei generierten Einwegpasswörtern werden diese üblicherweise nicht in der selben Mail wie die Nutzerkennung verschickt.

Das Schlimmste daran ist nicht, dass das Passwort im Klartext verschickt wird, sondern dass der Server das PW überhaupt im Klartext kennt und hier wohl auch so speichert. Gesalzene Hashes ist hier das Zauberwort. Alles ist andere ist No-Go.