In het open platform voor het opzetten van e-commerce Magento, dat ongeveer 10% van de markt voor het creƫren van webwinkels beslaat, is een kritieke kwetsbaarheid (CVE-2022-24086) ontdekt die het mogelijk maakt om code op de server uit te voeren via het verzenden van een bepaalde aanvraag zonder authenticatie. De kwetsbaarheid heeft een gevaarlijkheidsniveau van 9.8 op 10 toegewezen gekregen.
Het probleem wordt veroorzaakt door een onjuiste controle van de parameters die van de gebruiker zijn ontvangen in de checkout-handler. De details van de exploitatie van de kwetsbaarheid worden nog niet bekendgemaakt; de oplossing bestaat uit het schoonmaken van symbolen in de aanvraagparameters volgens de reguliere expressie Ā«/{{.*?}}/Ā».
De kwetsbaarheid komt voor in versies van 2.3.3-p1 tot en met 2.3.7-p2 en van 2.4.0 tot en met 2.4.3-p1. De oplossing is beschikbaar in de vorm van een patch (de nieuwe versies met de oplossing zijn nog niet vrijgegeven). Magento-gebruikers wordt dringend aangeraden om de patch te installeren, aangezien er al gevallen zijn gerapporteerd van het gebruik van deze kwetsbaarheid om aanvallen op webwinkels uit te voeren.
Bron: opennet.ru
