I den öppna plattformen för e-handelslösningar Magento, som stÄr för cirka 10% av marknaden för system för att skapa webbshoppar, har en kritisk sÄrbarhet (CVE-2022-24086) identifierats, vilket möjliggör körning av kod pÄ servern genom att skicka en specifik begÀran utan autentisering. SÄrbarheten har tilldelats en risknivÄ pÄ 9,8 av 10.
Problemet orsakas av bristande validering av anvÀndarinmatade parametrar i kassan. Detaljer om hur sÄrbarheten utnyttjas har Ànnu inte offentliggjorts, och ÄtgÀrden innebÀr att rengöra tecken i begÀrningsparametrar med hjÀlp av reguljÀra uttrycket '\/{{.*?}}\/'.
SÄrbarheten finns i versioner frÄn 2.3.3-p1 till 2.3.7-p2 och frÄn 2.4.0 till 2.4.3-p1, inklusive dessa. En ÄtgÀrd finns i form av ett patch (nya versioner med ÄtgÀrd har Ànnu inte slÀppts). AnvÀndare av Magento rekommenderas att snabbt installera patchen, eftersom det har rapporterats om fall dÀr sÄrbarheten anvÀnds för att utföra attacker pÄ webbshoppar.
KĂ€lla: opennet.ru
