פגיעות קריטית בפלטפורמת המסחר האלקטרוני של מג'נטו

בפלטפורמה הפתוחה לארגון מסחר אלקטרוני Magento, התופסת כ-10% משוק המערכות ליצירת חנויות מקוונות, זוהתה פגיעות קריטית (CVE-2022-24086), המאפשרת ביצוע קוד בשרת על ידי שליחת בקשה מסוימת ללא אימות. לפגיעות נקבעה רמת חומרה של 9.8 מתוך 10.

הבעיה נגרמת מאימות שגוי של פרמטרים שהתקבלו מהמשתמש במטפל עיבוד ההזמנות. פרטי הניצול של הפגיעות טרם נחשפו; התיקון מסתכם בניקוי תווים בפרמטרי השאילתה באמצעות הביטוי הרגולרי "/{{.*?}}/".

הפגיעות מופיעה במהדורות 2.3.3-p1 עד 2.3.7-p2 ו-2.4.0 עד 2.4.3-p1, כולל. התיקון זמין בצורה של תיקון (עדיין לא נוצרו מהדורות חדשות עם התיקון). למשתמשי מג'נטו מומלץ להתקין בדחיפות את התיקון, מאחר שכבר נרשמו באינטרנט מקרים בודדים של שימוש בפגיעות המדוברת להפעלת התקפות על חנויות מקוונות.

מקור: OpenNet.ru