Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Критическая уязвимость в платформе электронной коммерции Magento"	+/–
Сообщение от opennews (?), 17-Фев-22, 11:07
В открытой платформе для организации электронной коммерции Magento, которая занимает около 10% рынка систем для создания интернет-магазинов, выявлена  критическая уязвимость (CVE-2022-24086), позволяющая выполнить код на сервере через отправку определённого запроса без прохождения аутентификации. Уязвимости присвоен уровень опасности 9.8 из 10... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=56714
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от полураспад (?), 17-Фев-22, 11:07	–2 +/–
> исправление сводится к очистке символов это что за костыль?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #7, #23

2. Сообщение от InuYasha (??), 17-Фев-22, 11:23	–4 +/–
>поступивших от пользователя параметров Что, опять страдания по типизации? ) Или отрицательное количество посчитали? :D
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #19

3. Сообщение от Аноним (3), 17-Фев-22, 11:28	+30 +/–
Шел похапешник по $_REQUEST. Видит - eval() и include() простаивают без дела. Взял и выполнил пользовательские параметры как код.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #18, #28

4. Сообщение от Michael Shigorin (ok), 17-Фев-22, 11:32	+5 +/–
Дыркомагнито :( http://www.opennet.dev/keywords/magento.html
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #5

5. Сообщение от Аноним (5), 17-Фев-22, 11:38	+/–
>Дыркомагнито Классный злодей в людях-Х
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #12

6. Сообщение от Аноним (6), 17-Фев-22, 12:01	–1 +/–
Подождите, я что-то не понял. Magento, Mageia, и Manjaro -- это разное?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #8, #9, #14

7. Сообщение от Аноним (7), 17-Фев-22, 12:18	+3 +/–
Фильтрация входных данных это не костыль
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #10

8. Сообщение от ryoken (ok), 17-Фев-22, 12:51	+6 +/–
Угу. Даже не однофамильцы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

9. Сообщение от Аноним (9), 17-Фев-22, 12:59	+2 +/–
Сидели вместе.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

10. Сообщение от пох. (?), 17-Фев-22, 13:16	+1 +/–
Фильтрация "ниправильных" символов - это именно костыль. Который выскальзывает и больно бьет по балде, причем каждый раз, проблема только что макаки - необучаемы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

12. Сообщение от Дормидонт (?), 17-Фев-22, 13:29	+/–
В людях xxx разве что
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #17

14. Сообщение от kusb (?), 17-Фев-22, 13:40	+1 +/–
Есть ещё магнетто - движок для портала dcpp
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

17. Сообщение от kusb (?), 17-Фев-22, 13:43	+/–
Люди xxy
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

18. Сообщение от bugmenot (??), 17-Фев-22, 13:53	+/–
Хорошая шутка :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

19. Сообщение от пох. (?), 17-Фев-22, 14:00	+4 +/–
Зачем, когда можно просто попытаться их выполнить как код? Вдруг там что хорошее?!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

23. Сообщение от userd (ok), 17-Фев-22, 16:29	+1 +/–
Судя по регулярному выражению какие-то сырые данные "протекают" в шаблонизатор и там могут выполняться как код. Template injection. Правильное исправление требует времени, поскольку нужно найти все проблемные места, а пока только простая затычка.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #24

24. Сообщение от . (?), 17-Фев-22, 17:17	+/–
Ну да, не ограничивать же данные допустимыми символами сразу на входе. Это не по пацански!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

25. Сообщение от жявамэн (ok), 17-Фев-22, 18:14	+/–
>php Ясна панятна.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #27

27. Сообщение от Аноним (27), 18-Фев-22, 02:31	+3 +/–
Вот жабам бы не квакать)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

28. Сообщение от Аноним (28), 18-Фев-22, 11:33	+/–
А я всегда отправляю пользовательский ввод в eval, без всяких там фильтров. И да мои сервисы работают от root, меня не разу не ломали
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема