Add Readme + LICENSE

Author: White4Shadow

LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2025 ENOWARS, Jakob Rühlow
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

README

@@ -0,0 +1,43 @@
+#### Directory Traversal im Dateizugriff
+
+**Beschreibung:**  
+Die Route `/images/{filename}` prüft nicht ausreichend, ob der übergebene Dateiname Pfadangaben wie `..` oder `/` enthält. Dadurch ist es möglich, mit Requests wie `/images/../../otheruser/secret.jpg` auf Dateien außerhalb des eigenen Verzeichnisses zuzugreifen.
+
+**Flaggen-Speicherort:**  
+Die Flagge ist in einer JPG-Datei versteckt, die sich im Upload-Verzeichnis eines anderen Benutzers befindet.
+
+**Wie erhält man die Flagge:**  
+Der Spieler nutzt Directory Traversal, um das geheime Bild zu downloaden. In diesem Bild ist die Flagge per Steganografie mit `steghide` eingebettet. Nach dem Download muss der Spieler mit `steghide extract` die Flagge aus der JPG-Datei extrahieren.
+
+#### Kollisionsanfällige Seed-Hashfunktion für Item-IDs
+
+**Beschreibung:**  
+Die Seed-Hashfunktion für Items basiert auf einfachen mathematischen Operationen mit kleinem Modulo-Wert. Es ist dadurch möglich, gezielt verschiedene Usernamen zu erzeugen, die zur gleichen ItemID führen.
+
+**Flaggen-Speicherort:**  
+Die Flagge ist als Notiz (`Item Note`) auf einem Item gespeichert, das über die problematische Seed-Funktion einer ItemID zugewiesen wird.
+
+**Wie erhält man die Flagge:**  
+Der Spieler kann einen Usernamen so wählen, dass er die gleiche ItemID erhält wie ein anderer Account, auf dessen Item die Flagge liegt. Sobald das Mapping erfolgreich ist, bekommt der Spieler Zugriff auf die Note und kann die Flagge auslesen.
+
+#### Unsichere JWT SECRET_KEY-Generierung
+
+**Beschreibung:**  
+Der SECRET_KEY wird vorhersehbar generiert. Die genutzte Uhrzeit wird in eine Folge von '0' und '1' überführt und nur die ersten zwei zeichen genommen. Für Angreifer rekonstruierbar der SECRET_KEY kann erraten oder reproduziert werden.
+
+**Flaggen-Speicherort:**  
+Mit einem korrekt gefälschten JWT kann der Angreifer sich als der Account einloggen, auf dem die Flagge gespeichert ist (entweder als Bild oder als Item Note).
+
+**Wie erhält man die Flagge:**  
+Der Spieler rekonstruiert den SECRET_KEY und erstellt damit ein JWT-Token für den Ziel-Account. Dadurch erhält er Zugriff auf dessen Bilder und Items – und kann sowohl das versteckte Bild (für Steghide) als auch die Note mit der Flagge lesen.
+
+
+## License
+
+[MIT License](LICENSE)
+
+
+
+
+
+