# \[gelöst\] Keine Sonderzeichen Kundenkommentar (Bestellung)

**URL:** <https://forum.shopware.com/t/gelost-keine-sonderzeichen-kundenkommentar-bestellung/6869>\
**Category:** Shopware 3.5\
**Tags:** administration\
**Created:** [18. April 2012 um 13:36 UTC](https://forum.shopware.com/t/gelost-keine-sonderzeichen-kundenkommentar-bestellung/6869 "2012-04-18T13:36:22Z")\
**Posts on this page:** 7\
**Page:** 1

<div class="post-metadata">

**Author:** ![radox1](https://avatars.discourse-cdn.com/v4/letter/r/e19b73/32.png) [@radox1](https://forum.shopware.com/u/radox1)\
**Post date:** [18. April 2012 um 13:36 UTC](https://forum.shopware.com/t/gelost-keine-sonderzeichen-kundenkommentar-bestellung/6869/1 "2012-04-18T13:36:22Z")

</div>

Hallo, im Admin werden beim Kundenkommentar (Bestellung) keine Sonderzeichen angzeigt. Gehe davon aus, dass das als Schutz gegen Cross-Site-Scripting gedacht ist. Da manche Kunden z.B. Links (Urls) angeben, ist es nicht optimal. Könnte man den Filter nicht ersetzen? Wäre folgende Lösung nicht sicher genug? In ‘backend/modules/orders/main.php’, statt… `preg\_replace("/[^a-z\d äÄüÜöÖß]/i", "", $orderMain["customercomment"])` das… `htmlspecialchars($orderMain["customercomment"], ENT\_QUOTES, 'iso-8859-1')` Danke vorab.

---

<div class="post-metadata">

**Author:** ![radox1](https://avatars.discourse-cdn.com/v4/letter/r/e19b73/32.png) [@radox1](https://forum.shopware.com/u/radox1)\
**Post date:** [19. April 2012 um 11:50 UTC](https://forum.shopware.com/t/gelost-keine-sonderzeichen-kundenkommentar-bestellung/6869/2 "2012-04-19T11:50:59Z")

</div>

Anders gefragt. Kennt jemand eine Sicherheitslücke bei der Verwendung von htmlspecialchars() zur Verhinderung von Cross-site-Scripting (alle Anführungszeichen werden umgewandelt und die Zeichenkodierung ist korrekt gesetzt)?

---

<div class="post-metadata">

**Author:** ![radox1](https://avatars.discourse-cdn.com/v4/letter/r/e19b73/32.png) [@radox1](https://forum.shopware.com/u/radox1)\
**Post date:** [25. April 2012 um 01:22 UTC](https://forum.shopware.com/t/gelost-keine-sonderzeichen-kundenkommentar-bestellung/6869/3 "2012-04-25T01:22:44Z")

</div>

Noch jemand eine Idee hierzu?

---

<div class="post-metadata">

**Author:** ![SebastianKloepper](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/sebastiankloepper/32/21435_2.png) [@SebastianKloepper](https://forum.shopware.com/u/SebastianKloepper)\
**Post date:** [25. April 2012 um 12:20 UTC](https://forum.shopware.com/t/gelost-keine-sonderzeichen-kundenkommentar-bestellung/6869/4 "2012-04-25T12:20:02Z")

</div>

Hi, es geht ja hier nur um die reine Ansicht im Backend, oder? Da solltest du das so ändern können.

---

<div class="post-metadata">

**Author:** ![radox1](https://avatars.discourse-cdn.com/v4/letter/r/e19b73/32.png) [@radox1](https://forum.shopware.com/u/radox1)\
**Post date:** [25. April 2012 um 12:50 UTC](https://forum.shopware.com/t/gelost-keine-sonderzeichen-kundenkommentar-bestellung/6869/5 "2012-04-25T12:50:44Z")

</div>

Hab mir halt gedacht, dass schlimmste was passieren könnte wäre, wenn ein Kunde bei der Bestellung ein Javascript über den Kommentar einschleußen könnte, dass dann beim Anzeigen des Kommentars im Backend die Session-ID des Cookies klaut. Wird der Kommentar geprüft (XSS-Filter)? Eigentlich sollte aber mit htmlspecialchars() (Beispiel oben) auch das kein Problem sein, oder? Danke vorab.

---

<div class="post-metadata">

**Author:** ![SebastianKloepper](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/sebastiankloepper/32/21435_2.png) [@SebastianKloepper](https://forum.shopware.com/u/SebastianKloepper)\
**Post date:** [25. April 2012 um 12:55 UTC](https://forum.shopware.com/t/gelost-keine-sonderzeichen-kundenkommentar-bestellung/6869/6 "2012-04-25T12:55:46Z")

</div>

Hi, schau mal in der Pluginverwaltung nach „InputFilter“ und klicke auf editieren. Das meinst du vermutlich

---

<div class="post-metadata">

**Author:** ![radox1](https://avatars.discourse-cdn.com/v4/letter/r/e19b73/32.png) [@radox1](https://forum.shopware.com/u/radox1)\
**Post date:** [25. April 2012 um 13:24 UTC](https://forum.shopware.com/t/gelost-keine-sonderzeichen-kundenkommentar-bestellung/6869/7 "2012-04-25T13:24:23Z")

</div>

Gut, der XSS-Filter ist ja per default aktiviert. Dann werde ich mal die Lösung mir htmlspecialchars() einbauen. Danke !!