W otwartej platformie do organizacji e-commerce Magento, która zajmuje około 10% rynku systemów do tworzenia sklepów internetowych, zidentyfikowano krytyczną lukę (CVE-2022-24086), która umożliwia wykonanie kodu na serwerze przez wysłanie określonego żądania bez uwierzytelnienia. Luce przypisano poziom ważności 9.8 na 10.
Problem wynika z nieprawidłowej weryfikacji parametrów otrzymanych od użytkownika w programie obsługi zamówień. Szczegóły wykorzystania luki nie zostały jeszcze ujawnione, a poprawka sprowadza się do wyczyszczenia znaków w parametrach zapytania za pomocą wyrażenia regularnego „/{{.*?}}/”.
Luka występuje w wersjach od 2.3.3-p1 do 2.3.7-p2 i od 2.4.0 do 2.4.3-p1 włącznie. Poprawka jest dostępna w formie łatki (nowe wydania z poprawką nie zostały jeszcze wygenerowane). Użytkownikom Magento zaleca się pilną instalację łatki, gdyż w Internecie odnotowywano już pojedyncze przypadki wykorzystania omawianej luki do przeprowadzania ataków na sklepy internetowe.
Źródło: opennet.ru