Questions tagged «security»

表示有关Magento的安全性问题。

15
SUPEE-10975潜在问题
SUPEE-10975已发布，很高兴知道在尝试应用此程序时是否有人遇到任何问题，这是否与最新的添加7.2支持的修补程序发生冲突？ 到目前为止，这些是我可以看到的更改文件 app/code/core/Mage/Adminhtml/Block/Customer/Group/Edit.php app/code/core/Mage/Adminhtml/Block/Newsletter/Template/Edit.php app/code/core/Mage/Adminhtml/controllers/Cms/BlockController.php app/code/core/Mage/Adminhtml/controllers/Customer/GroupController.php app/code/core/Mage/Adminhtml/controllers/SitemapController.php app/code/core/Mage/Adminhtml/controllers/System/BackupController.php app/code/core/Mage/Captcha/Model/Observer.php app/code/core/Mage/Captcha/Model/Zend.php app/code/core/Mage/Captcha/etc/config.xml app/code/core/Mage/Catalog/Model/Api2/Product/Image/Rest/Admin/V1.php app/code/core/Mage/Catalog/Model/Product/Attribute/Media/Api.php app/code/core/Mage/Cms/Model/Wysiwyg/Images/Storage.php app/code/core/Mage/Core/etc/config.xml app/code/core/Mage/Core/sql/core_setup/upgrade-1.6.0.7.1.1-1.6.0.7.1.2.php app/code/core/Mage/Dataflow/Model/Convert/Container/Abstract.php app/code/core/Mage/ImportExport/Model/Import/Entity/Customer.php app/code/core/Mage/ImportExport/Model/Import/Entity/Customer/Address.php app/code/core/Mage/Payment/etc/config.xml app/code/core/Mage/Payment/etc/system.xml app/code/core/Mage/Payment/sql/payment_setup/upgrade-1.6.0.0.1.1-1.6.0.0.1.2.php app/code/core/Mage/Sendfriend/Block/Send.php app/code/core/Mage/Wishlist/controllers/IndexController.php app/code/core/Zend/Controller/Request/Http.php app/design/adminhtml/default/default/template/cms/browser/content/files.phtml app/design/frontend/base/default/layout/captcha.xml app/design/frontend/base/default/template/wishlist/sharing.phtml app/design/frontend/rwd/default/layout/page.xml app/design/frontend/rwd/default/template/sendfriend/send.phtml app/etc/modules/Mage_All.xml app/etc/modules/Mage_Captcha.xml app/locale/en_US/Mage_Wishlist.csv js/lib/jquery/jquery-1.12.0.js js/lib/jquery/jquery-1.12.0.min.js js/lib/jquery/jquery-1.12.0.min.map js/lib/jquery/jquery-1.12.1.js js/lib/jquery/jquery-1.12.1.min.js js/lib/jquery/jquery-1.12.1.min.map 有没有人遇到这些更改的任何问题？
2
即使在应用补丁后，Magento仍然被黑
在我的Magento社区版本1.8.1站点被黑客入侵之前的几天，因为我们迟于应用补丁了。我们发现某些文件已更改，这些是 index.php [黑客添加了一些代码]。 get.php js / index.php js / lib / ccard.js lib / Varien / Autoload.php 他们还安装了名为Magpleasure文件系统的模块 但是在应用补丁并删除黑客在我们的应用程序问题中添加的所有内容之后，仍无法解决。 黑客最终更改了3个文件 get.php js / index.php js / lib / ccard.js 有什么我们想念的吗？ 如何通过攻击我们的文件来防止它们？ 补丁是否正常工作？我应该如何检查？
3
Magento CE 1.9.2何时发布？
Magento Community Edition 1.9.2的发布日期是什么？ 他们在Magento的官方帖子中说，它将在“未来几周”内发布，这有点含糊。有人知道（非正式）发布日期吗？ Magento EE 1.14.2已经可用，并且我已经看到所有最新的安全补丁已经在其中。我们已经将所有当前正在运行的EE 1.14.1开发项目更新为1.14.2，并且也希望尽快对我们的1.9.1 CE项目进行更新。 更新： CE 1.9.1.1已于5月1日发布，其中包含最新的修补程序。我的问题仍然存在
5
Magento商店不安全
最近，我接管了Magento商店的管理。昨天，我们收到了一家IT公司发来的电子邮件，说我们的商店不安全。尽管我怀疑电子邮件的合法性，但它确实显示了商店中的最后订单，注册客户的数量和最后添加的产品。 自从我最近成为管理员以来，在实现之后，我不完全知道已采取了哪些安全措施。我肯定知道以下几件事： 管理面板有一个自定义路径 数据通过https发送 管理员密码是由随机的大小写字母组成的字符串 如果这封邮件是合法的，我该如何解决此问题？
1
使用Zend Framework的SQL模型时的SQL注入漏洞
连接表时，我使用Zend Framework的SQL模型。例如，我修改了我的实际代码，但我想您会明白的： $this->getSelect()->join( array('sections' => $sectionsTableName), 'main_table.banner_id = pages.banner_id', array() ) ->where("sections.section= '$section' OR sections.section = '0' OR (sections.section = '6' AND ? LIKE main_table.url)",$url) ->group('main_table.banner_id'); 该页面加载了ajax，并且$ section参数作为GET参数（www.example.com/controllerName/index/display/3?paremeter1=example&section=www.example2.com）发送。 如果有人执行以下操作，这就是问题所在： www.example.com/controllerName/index/display/3?paremeter1=example&url=(SELECT 3630 FROM(SELECT COUNT(*),CONCAT(0x7170786a71,(SELECT (ELT(3630=3630,1))),0x717a716b71,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) 这样，用户可以转储整个数据库。不会显示数据，但是SQL仍会执行转储，这可能导致sql重载。 问题： 防止这种情况的最佳方法是什么？ 现在，我为以前的客户感到担忧。使用此代码是否可以采取更大的风险措施，例如延迟或更改表？我猜不是因为您不能在SELECT中放入除SELECT之外的任何其他语句，所以DELETE将产生sql语法错误。我对吗？ 更新： 我的示例不是对SQL注入的正确说明，因为存在'符号围绕$ sections，因此将无法进行注入。无论如何，当期望整数值并且不过滤整数输入时，这都是可能的。见下面我的评论。
15
安全修补程序SUPEE-10752-可能的问题？
Magento 1的新安全补丁已发布，解决了25个APPSEC问题 https://magento.com/security/patches/supee-10752 应用此修补程序时，您需要注意哪些常见问题？ SUPEE-10752，Magento Commerce 1.14.3.9和开源1.9.3.9包含多项安全增强功能，可帮助关闭经过身份验证的Admin用户远程执行代码（RCE），跨站点请求伪造（CSRF）和其他漏洞。 Magento Commerce和Magento开源发行说明中提供了有关1.14.3.9和1.9.3.9版本中所有更改的信息。 以下Magento版本均提供补丁和升级： Magento Commerce 1.9.0.0-1.14.3.9：SUPEE-10752或升级到Magento Commerce 1.14.3.9。 Magento开源1.5.0.0-1.9.3.9：SUPEE-10752或升级到Magento开源1.9.3.9。
1
SUPEE-9767 V2可能的问题和已解决的问题
Magento的只是版本更新的版本SUPEE-9767和Magento - CE 1.9.3.4。 所以我的问题是解决了哪些错误，如果我们已经申请过V2，我们是否需要重新V2申请v1。 以及的新变化是CE 1.9.3.4，它是仅用新的安全补丁修复还是更多？ 以及此v2版本之后仍存在哪些错误。
1
安全提醒功能不断涌现……（SUPEE-5344＆SUPEE-1533）
我有几个Magento装置，我代表客户进行管理。我们已经修复了漏洞，但警告不断出现。我们刚刚在所有站点上收到了第三条警告。 我们部署了两个不同的版本：1.7.0.2和1.9.1.0。 当我修补1.9版本时，我得到了一些警告，但是我通过对照实际代码检查sh文件中的“ diff”来验证是否已应用补丁。另外，由于1.9.1.0中已经进行了更改，因此我无法应用SUPEE-1533补丁。我在其他地方发现该补丁仅适用于1.9.0.1。我的/app/etc/applied.patches.list中只有SUPEE-5344数字 在1.7.0.2上，这是另一个问题。我确实设法同时应用了两个补丁，但是SUPEE-5344却被称为SUPEE-5345。 警告不断涌现，客户抱怨他们。看来我们没有应用安全补丁，而确实如此。 另外：补丁的命名有点..很不幸。SUPEE-5344和SUPEE-5345以其企业版本命名：EE_1.12.0.2和EE_1.14.1.0，即使我下载了该修补程序的社区版本... 安装补丁时，我是否错过了某些事情？如果我在Applied.patches.list中具有正确的补丁程序名称，警告会停止出现吗？
1
Magento SWF XSS漏洞-如何解决？
根据以下网址列出的SWF / Flash漏洞：http： //appcheck-ng.com/unpatched-vulnerabilites-in-magento-e-commerce-platform/ 我已验证的哪一个在Magento 1.9.1.0中仍然存在，解决此问题的最佳方法是什么？阻止或限制对这些SWF文件的访问是否存在任何问题？
4
require_once'app / Mage.php'的安全风险；在Magento的根
我的Magento根目录中有一个文件，require_once 'app/Mage.php';可让我访问Mage::getStoreConfig系统变量。 这会带来安全风险吗？我应该把它放在另一个文件夹中吗？ 这是我的文件/twitter.php： <?php require_once 'app/Mage.php'; Mage::app(); $consumer_key = Mage::getStoreConfig("Social/twitterapi/consumer_key"); $consumer_secret = Mage::getStoreConfig("Social/twitterapi/consumer_secret"); $oauth_access_token = Mage::getStoreConfig("Social/twitterapi/access_token"); $oauth_access_token_secret = Mage::getStoreConfig("Social/twitterapi/access_token_secret");
12 security 
2
CSRF攻击和会话劫持漏洞
从1.8CE Alpha发行说明： Magento Web商店具有附加的跨站点请求伪造（CSRF）保护，这意味着冒名顶替者不能再冒充新注册的客户并代表该客户执行操作。 和： 在早期版本中，Magento在注册过程中容易受到会话固定攻击的攻击。登录其帐户后，注册用户的会话ID不变。因此，如果攻击者知道了未经授权的会话ID，并且该用户成功注册，则攻击者可以接管新注册的帐户。现在，成功注册后，会话ID会更改，从而无法未经授权使用帐户。 如果这在发行说明中，并且我没有看到针对此版本的早期发行版（我在错误的位置？）–那么这意味着当前的1.8之前的版本可能会受到这些攻击向量？ 来源：http：//www.magentocommerce.com/knowledge-base/entry/ce-18-later-release-notes
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.