Was mich interessieren würde...

[Mimus Polyglottos]

Muss der Steam-Client für die Sicherheitslücke aktiv sein?

Schon klar, dass das Protokoll steam: auch bei deaktiviertem Client dem Browser bekannt ist, nur scheinen mir für fast alle Steam-Aktionen eine vorherige Anmeldung (auch für den Offline-Modus) nötig zu sein.

[bassfader]

Nein, Steam wird bei dem Aufruf automatisch gestartet. Und hat man die automatische Anmeldung (also Account Daten eingegeben und beim Login-Fenster den Haken für "Mein Passwort speichern" gesetzt) aktiviert kommt nur kurz ein Dialog der anzeigt dass man sich einloggt, danach wird die "gewünschte Aktion" ausgeführt.

Ist die automatische Anmeldung deaktiviert kommt wie erwartet ein Login-Fenster (zumindest bei meinem kurzen Test mit dem "rungameid" Befehl). Allerdings kann ich dir nicht sagen ob das für alle Befehle gilt, aber ich gehe mal stark davon aus dass dies zumindest bei den allermeisten Befehlen der Fall sein müsste.

z.B. ist das Szenario mit der .bat file die automatisch im Autostart Ordner angelegt wurde, indem der Konsolenbefehl "log" der Source-Engine missbraucht wurde, so ein Fall der wohl nur mit einem aktiven und eingeloggten (oder einem sich im Offline-Modus befindenden) Client funktioniert: denn das Spiel muss laufen damit Konsolen-Befehle übergeben werden können, und damit das Spiel läuft muss man entweder eingeloggt oder im Offline-Modus sein.

[Mimus Polyglottos]

OK, danke für die Antwort!