Naar het overzicht

Magento versies kwetsbaar

Omschrijving van de kwetsbaarheid

Het probleem wordt veroorzaakt doordat de invoer die de webapplicatie ontvangt (zoals cookie, url, request parameters) niet juist wordt verwerkt en hierdoor in de uitvoer terecht komt naar de eindgebruiker. Via deze bug in de website kan er kwaadaardige code geïnjecteerd worden. Hiermee kunnen onder meer sessiecookies worden bekeken, sessies van een gebruiker worden overgenomen, functionaliteit van een website worden aangepast of onbedoelde acties voor een gebruiker worden uitgevoerd.

Vaak wordt cross-site scripting gebruikt in combinatie met Phishing, waarbij de eindgebruiker wordt verleid om op een met Cross Site Scripting (“XSS”) geprepareerde link in een emailbericht te klikken. Zodra deze persoon op de link klikt wordt de XSS aanval uitgevoerd.

Getroffen systemen

Er is recentelijk een ernstige kwestbaarheid aan het licht gekomen die kwaadwillenden in staat stelt om het administrator account over te nemen van specifieke Magento installaties. Deze kwetsbaarheid is aanwezig in Magento CE versies voor 1.9.2.3 en Magento EE versies voor 1.14.2.3.

Te nemen maatregelen

Op de site van Magento is een patch voor de kwetsbaarheid beschikbaar. Denit raadt alle Magento gebruikers aan om de patch zo snel mogelijk te installeren.

Meer informatie over deze kwetsbaarheid:

Security blog (engelstalig)

Security website (nederlands)

Heeft u nog vragen of opmerkingen naar aanleiding van dit bericht of heeft u ondersteuning nodig? Bel 020 475 0009 of stuur een e-mail naar support@easyhosting.nl. Wij helpen u graag verder.

05 Feb 2016 in Nieuws.