成人免费xxxxx在线视频软件_久久精品久久久_亚洲国产精品久久久_天天色天天色_亚洲人成一区_欧美一级欧美三级在线观看

Magento存在XSS漏洞,在線商城可被攻擊者操控

安全 漏洞
Magento是一套開源的電子商務系統,是主要面向企業的應用,可處理電子商務各方面的需求,包括像購物、航運、產品評論等等,最終為建設一個多用途和適用面廣的電子商務網站提供幫助。

Magento是一套開源的電子商務系統,是主要面向企業的應用,可處理電子商務各方面的需求,包括像購物、航運、產品評論等等,最終為建設一個多用途和適用面廣的電子商務網站提供幫助。

Magento存在XSS漏洞,在線商城可被攻擊者操控

Magento項目小組目前已經發布補丁,修復Magento上一個高危的安全漏洞。

漏洞信息

這個漏洞是一個存儲型XSS,是安全廠商Sucuri于2015年11月10日發現的,可實施攻擊的場景為:當用戶注冊一個新賬戶時或者當用戶更改當前賬戶的郵件地址時等涉及到郵箱賬號提交的場景。

該問題關鍵在于CMS(內容管理系統)如何過濾在用戶側輸入的包含郵件地址信息的數據。據Sucuri的研究發現,Magento并沒有有效地對郵件地址中可能存在的惡意字符進行過濾。

這種不安全的數據過濾機制能夠讓攻擊者在輸入電子郵箱的同時附加上惡意代碼。

漏洞分析

這個問題存在于Magento中的app/design/adminhtml/default/default/template/sales/order/view/info.phtml

Magento存在XSS漏洞,在線商城可被攻擊者操控

正如從上面的代碼段中看到的,template會將getcustomeremail方法的返回值(即用戶填入的郵箱地址)傳遞到管理面板上。而繼續我們的分析,在以下代碼段中也有所發現:

Magento存在XSS漏洞,在線商城可被攻擊者操控

根據上述的代碼段編寫的規則,Magento可以接受兩種不同的郵件格式:

1、一種較為常見,沒有雙引號,沒有“<”符號等等; 2、另外一種,為引用字符串格式,它幾乎可以接受任何可打印字符,只要輸入數據的周圍有兩個雙引號。

此刻,從理論上,我們嘗試使用比如“>”@sucuri.net作為用戶賬號郵箱,提交一個訂單,接著觀察當管理員在后臺管理面板上查看我們提交的訂單時會發生什么情況?

上圖的結果證實了我們的猜測,Magento確實存在一個XSS漏洞。

漏洞的易利用性

正如前面的POC結果展示的,如果攻擊者接著利用像上述所說的帶有惡意代碼的郵箱地址的賬戶下了一個訂單,當網站管理員在后臺打開這個訂單時,那么惡意代碼將會執行。而基于攻擊的原理,該漏洞其實對于任何攻擊者來說都是容易掌握利用的。

比如JS代碼能被用于訪問cookies,所以攻擊者可以通過竊取管理員的cookies,隨后用于非法訪問站點。當然,也可以實施其他的攻擊,攻擊的方式也取決于攻擊者的技術能力。

WordPress站點此前也面臨同樣問題

從原理上來看, 該漏洞類似于Sucuri在10月份發現的存在于 Jetpack WordPress plugin的一個XSS漏洞。Jetpack WordPress plugin的XSS漏洞同樣也是攻擊者可以通過將惡意代碼附加到郵箱地址,并通過反饋的形式發送到后臺,因此導致在后臺執行惡意代碼。

受影響版本

目前受影響的版本包括Magento 社區版1.9.2.3及更早版本,Magento 企業版 1.14.2.3及更早版本,當前的2.x版本并未受該問題的影響。

如果還運行著Magento的老版本,網站管理員需盡快升級在線商城。

責任編輯:藍雨淚 來源: E安全
相關推薦

2021-10-08 16:33:29

漏洞網絡安全網絡攻擊

2020-10-12 18:44:19

漏洞網絡安全攻擊

2014-05-08 09:14:21

2021-04-22 09:33:37

Azure漏洞攻擊

2020-12-30 09:27:55

漏洞DDoS攻擊網絡攻擊

2010-09-25 15:40:54

2021-09-03 14:59:10

Linux漏洞攻擊

2014-10-08 09:25:30

2012-06-13 09:26:46

2012-08-10 14:38:13

2025-04-15 08:50:00

插件網絡安全漏洞

2014-08-20 09:44:57

2022-02-16 11:51:16

McAfee漏洞Windows

2022-04-20 14:54:35

漏洞網絡攻擊Windows

2021-03-15 13:36:45

Linux漏洞Root

2024-12-19 15:13:26

2025-03-07 12:18:07

2024-10-18 17:10:45

2021-09-26 05:44:07

漏洞攻擊黑客

2020-06-30 09:41:23

漏洞網絡安全DNS
點贊
收藏

51CTO技術棧公眾號

主站蜘蛛池模板: 精品一区二区三区四区五区 | 精品福利在线 | 亚洲欧美一区二区三区视频 | 精品国产成人 | 国产精品久久二区 | 精品欧美乱码久久久久久 | 国产精品一区二区三区在线 | 九九精品视频在线 | 欧美日韩精品在线免费观看 | 成人国产综合 | 久久久久久免费看 | 国产专区在线 | 国产美女在线播放 | 天天插日日操 | 国产视频福利在线观看 | 可以在线看的黄色网址 | 涩涩视频大全 | 亚洲视频在线观看 | 日韩中文字幕在线视频观看 | 久久久久国产一区二区三区四区 | 日日日操 | zzzwww在线看片免费 | 91久久久久久久久久久 | 在线观看av网站永久 | 亚洲精品国产电影 | 人人cao| 久久久久久久电影 | 一级片在线视频 | 国产综合精品一区二区三区 | 亚洲入口 | 久久久久久免费精品一区二区三区 | 中文字幕一区二区三区精彩视频 | 国产精品成人在线播放 | 国产精品久久久久久一级毛片 | 免费黄色录像视频 | 99re视频在线观看 | 99福利在线观看 | 亚洲欧美网站 | 国产精品自产拍在线观看蜜 | 瑟瑟激情 | 国产精品美女久久久久aⅴ国产馆 |