Magento SWF XSS漏洞-如何解决？

根据以下网址列出的SWF / Flash漏洞：http： //appcheck-ng.com/unpatched-vulnerabilites-in-magento-e-commerce-platform/

我已验证的哪一个在Magento 1.9.1.0中仍然存在，解决此问题的最佳方法是什么？阻止或限制对这些SWF文件的访问是否存在任何问题？

根据Piotr Kaminski的说法，该修补程序已在1.9.1.0中进行了修补。twitter.com/molotovbliss/status/537257580322488320

— B00MER 2015年

好的，我想我为什么仍然认为1.9.1.0仍然很脆弱。我在一些从1.9.0.1升级的Magento商店中进行了测试，并且旧版本中仍然存在文件editor.swf（在1.9.1.0中未使用），因此它仍然显示警报。appcheck列出了uploader.swf和uploaderSingle.swf易受攻击，但是使用这些文件，我无法获得出现在任何版本上的警报。我看到1.9.1.0升级了两个uploader swf文件，因此似乎它们已被修补。对于较旧的1.9.0.1和较旧的版本，是否有补丁/替代方法可以用来降低升级以外的风险？

— Rob Mangiafico 2015年

您可以尝试替换两个.swf文件，看看它是否没有破坏任何功能，如果确实没有，则可能有要修补的代码。不幸的是，Magento在较旧的版本上似乎没有针对它的正式补丁。

— B00MER 2015年

这可能不是100％有效的Stack Exchange答案，因为我无法提供完整的解决方案，但我认为发布此总比没有好。

企业支持提供了一个可解决此问题的补丁。我不允许发布补丁，但是如果您是企业客户，则可以要求该补丁，因为它也与某些CE版本兼容。

以下是我希望可以在不麻烦的情况下分享的一些信息：

该补丁会删除两个SWF文件并修改上载器SWF。

有人告诉我提供的补丁与这些CE版本兼容：

1.4。*，1.5.0.1、1.6.0.0、1.6.1.0、1.7.0.0、1.7.0.2、1.8.0.0

此外，它与所有<1.14.0.0的EE版本兼容，因此我猜该补丁已包含在EE 1.14中。那时它也包含在CE 1.9中，这是有道理的。

[更新]支持人员通知我该补丁已合并到CE 1.9.1中。因此，解决方案应该是更新到CE 1.9.1.0或直接从Magento请求此补丁。

— 马蒂亚斯·蔡斯（Matthias Zeis）
source