នៅក្នុងវេទិកាបើកចំហសម្រាប់រៀបចំ e-commerce ដែលត្រូវចំណាយពេលប្រហែល ទីផ្សារនៃប្រព័ន្ធសម្រាប់បង្កើតហាងអនឡាញ, ភាពងាយរងគ្រោះ ការរួមបញ្ចូលគ្នានៃការដែលអនុញ្ញាតឱ្យអ្នកធ្វើការវាយប្រហារដើម្បីប្រតិបត្តិកូដរបស់អ្នកនៅលើម៉ាស៊ីនមេ ទទួលបានការគ្រប់គ្រងពេញលេញលើហាងអនឡាញ និងរៀបចំការប្តូរទិសដៅនៃការទូទាត់។ ភាពងាយរងគ្រោះ នៅក្នុង Magento ចេញផ្សាយ 2.3.2, 2.2.9 និង 2.1.18 ដែលរួមគ្នាដោះស្រាយបញ្ហាសុវត្ថិភាពចំនួន 75 ។
បញ្ហាមួយអនុញ្ញាតឱ្យអ្នកប្រើដែលមិនមានការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវអាចសម្រេចបាននូវការដាក់ JavaScript (XSS) ដែលអាចត្រូវបានប្រតិបត្តិនៅពេលមើលប្រវត្តិការទិញដែលបានលុបចោលនៅក្នុងចំណុចប្រទាក់អ្នកគ្រប់គ្រង។ ខ្លឹមសារនៃភាពងាយរងគ្រោះគឺសមត្ថភាពក្នុងការឆ្លងកាត់ប្រតិបត្តិការសម្អាតអត្ថបទដោយប្រើមុខងារ EscapeHtmlWithLinks() នៅពេលដំណើរការចំណាំក្នុងទម្រង់លុបចោលនៅលើអេក្រង់ពិនិត្យចេញ (ដោយប្រើស្លាក “a href=http://onmouseover=…” ត្រូវបានដាក់ក្នុងស្លាកមួយទៀត) ។ បញ្ហាបង្ហាញដោយខ្លួនវានៅពេលប្រើម៉ូឌុល Authorize.Net ដែលភ្ជាប់មកជាមួយ ដែលត្រូវបានប្រើដើម្បីទទួលយកការទូទាត់តាមកាតឥណទាន។
ដើម្បីទទួលបានការគ្រប់គ្រងពេញលេញដោយប្រើកូដ JavaScript នៅក្នុងបរិបទនៃសម័យបច្ចុប្បន្នរបស់បុគ្គលិកហាង ភាពងាយរងគ្រោះទីពីរត្រូវបានកេងប្រវ័ញ្ច ដែលអនុញ្ញាតឱ្យអ្នកផ្ទុកឯកសារ phar ក្រោមរូបភាព ( "ផារ deserialization") ។ ឯកសារ Phar អាចត្រូវបានផ្ទុកឡើងតាមរយៈទម្រង់បញ្ចូលរូបភាពក្នុងកម្មវិធីនិពន្ធ WYSIWYG ដែលមានស្រាប់។ បន្ទាប់ពីសម្រេចបាននូវការប្រតិបត្តិកូដ PHP របស់គាត់ អ្នកវាយប្រហារអាចផ្លាស់ប្តូរព័ត៌មានលម្អិតនៃការទូទាត់ ឬស្ទាក់ចាប់ព័ត៌មានកាតឥណទានរបស់អតិថិជន។
គួរឱ្យចាប់អារម្មណ៍ព័ត៌មានអំពីបញ្ហា XSS ត្រូវបានបញ្ជូនទៅអ្នកអភិវឌ្ឍន៍ Magento ត្រឡប់មកវិញនៅក្នុងខែកញ្ញា 2018 បន្ទាប់ពីនោះបំណះមួយត្រូវបានចេញផ្សាយនៅចុងខែវិច្ឆិកា ដែលវាបានប្រែក្លាយចេញតែករណីពិសេសមួយប៉ុណ្ណោះ ហើយងាយស្រួលជៀសផុត។ នៅក្នុងខែមករា វាត្រូវបានរាយការណ៍បន្ថែមអំពីលទ្ធភាពនៃការទាញយកឯកសារ Phar ក្រោមរូបភាព និងបង្ហាញពីរបៀបដែលការរួមបញ្ចូលគ្នានៃភាពងាយរងគ្រោះពីរអាចត្រូវបានប្រើដើម្បីសម្របសម្រួលហាងអនឡាញ។ នៅចុងខែមីនានៅក្នុង Magento 2.3.1,
2.2.8 និង 2.1.17 បានដោះស្រាយបញ្ហាជាមួយឯកសារ Phar ប៉ុន្តែភ្លេចការជួសជុល XSS ទោះបីជាសំបុត្របញ្ហាត្រូវបានបិទក៏ដោយ។ នៅក្នុងខែមេសា ការញែក XSS បានបន្ត ហើយបញ្ហាត្រូវបានជួសជុលនៅក្នុងការចេញផ្សាយ 2.3.2, 2.2.9 និង 2.1.18។
វាគួរតែត្រូវបានកត់សម្គាល់ថាការចេញផ្សាយទាំងនេះក៏ជួសជុលភាពងាយរងគ្រោះចំនួន 75 ដែល 16 ត្រូវបានគេវាយតម្លៃថាមានសារៈសំខាន់ហើយ 20 បញ្ហាអាចនាំឱ្យមានការប្រតិបត្តិកូដ PHP ឬការជំនួស SQL ។ បញ្ហាសំខាន់ៗភាគច្រើនអាចត្រូវបានប្រព្រឹត្តដោយអ្នកប្រើប្រាស់ដែលបានផ្ទៀងផ្ទាត់ប៉ុណ្ណោះ ប៉ុន្តែដូចដែលបានបង្ហាញខាងលើ ប្រតិបត្តិការដែលបានផ្ទៀងផ្ទាត់អាចសម្រេចបានយ៉ាងងាយស្រួលដោយប្រើភាពងាយរងគ្រោះ XSS ដែលក្នុងនោះរាប់សិបត្រូវបានជួសជុលនៅក្នុងការចេញផ្សាយដែលបានកត់សម្គាល់។
ប្រភព: opennet.ru