Προσοχή! Εντοπίστηκαν 37 ευπάθειες ασφαλείας στην πλατφόρμα της Magento. Η εταιρεία κυκλοφόρησε πρόσφατα νέες εκδόσεις του content management software.
Η Magento που ανήκει στη Adobe από το 2018, διαθέτει ένα από τα πιο δημοφιλή content management system (CMS) που τροφοδοτεί το 28% των ιστοτόπων παγκοσμίως. Επειδή λοιπόν, υπάρχουν μεγάλες πιθανότητες πολλοί από εσάς να ανήκετε στο 28%, δώστε μεγάλη προσοχή.
Μια από τις πιο κρίσιμες ευπάθειες αφορά SQL Injection, το οποίο μπορεί να χρησιμοποιηθεί απομακρυσμένα από μη εξουσιοδοτημένους εισβολείς. Για λόγους ασφαλείας οι προγραμματιστές της Magento αποφάσισαν να μην εκδώσουν τεχνικές λεπτομέρειες για το ελάττωμα.
Το ελάττωμα, το οποίο δεν διαθέτει αναγνωριστικό CVE αλλά φέρει εσωτερική ετικέτα “PRODSECBUG-2198”, θα μπορούσε να επιτρέψει στους hackers να κλέψουν ευαίσθητες πληροφορίες από τις βάσεις δεδομένων ευάλωτων e-commerce websites, συμπεριλαμβανομένων των admin sessions ή κωδικών πρόσβασης για το dashboard του διαχειριστή.
Εκτός από την ευπάθεια SQLi, η Magento έχει επίσης επιδιορθώσει την πλαστογράφηση cross-site request (CSRF), το cross-site scripting (XSS), το remote code execution (RCE) και άλλα ελαττώματα. Ωστόσο, η εκμετάλλευση της πλειονότητας αυτών των αδυναμιών απαιτεί πιστοποίηση των εισβολέων στο site.
Οι επηρεαζόμενες εκδόσεις Magento περιλαμβάνουν:
- Magento Open Source πριν από την9.4.1
- Magento Commerce πριν από14.4.1
- Magento Commerce 2.1 πριν από την1.17
- Magento Commerce 2.2 πριν από2.8
- Magento Commerce 2.3 πριν από την3.1
Δεδομένου ότι οι ιστότοποι Magento όχι μόνο αποθηκεύουν τις πληροφορίες των χρηστών αλλά και περιέχουν ιστορικό παραγγελιών και οικονομικές πληροφορίες των πελατών τους, το ελάττωμα μπορεί να οδηγήσει σε καταστροφικές επιθέσεις στο διαδίκτυο.
Οι ιδιοκτήτες ηλεκτρονικών καταστημάτων παροτρύνονται να αναβαθμίσουν τα e-commerce websites τους στις πιο πρόσφατες ενημερωμένες εκδόσεις όσο το δυνατόν συντομότερα πριν οι hackers ξεκινήσουν να εκμεταλλεύονται το σφάλμα για να θέσουν σε κίνδυνο τους ιστοτόπους σας και να κλέψουν τα στοιχεία της κάρτας πληρωμής των πελατών σας.
