Критична уязвимост в платформата за електронна търговия Magento

В отворената платформа за електронна търговия Magento, която заема около 10% от пазара на системи за създаване на онлайн магазини, е идентифицирана критична уязвимост (CVE-2022-24086), която позволява изпълнение на код на сървъра чрез изпращане на специфичен заявка без преминаване на удостоверяване. Уязвимостта е оценена с 9.8 от 10.

Проблемът е причинен от неправилно валидиране на параметрите, получени от потребителя в манипулатора на плащането. Подробности за експлоатацията на уязвимостта все още не са разкрити, корекцията се свежда до изчистване на знаци в параметрите на заявката с помощта на регулярния израз "/{{.*?}}/".

Уязвимостта се появява във версии 2.3.3-p1 до 2.3.7-p2 и 2.4.0 до 2.4.3-p1 включително. Корекцията е налична под формата на корекция (все още не са генерирани нови версии с корекцията). Потребителите на Magento се съветват спешно да инсталират корекцията, тъй като в мрежата вече са регистрирани отделни случаи на използване на въпросната уязвимост за извършване на атаки срещу онлайн магазини.

Източник: opennet.ru