Вышел пакет исправлений для Magento – платформы, которая предназначается для Интернет-магазинов. Обновление ликвидирует многие опасные уязвимости, в том числе две бреши, которые дают возможность осуществлять XSS-атаку и могут впоследствии привести к компрометации сайта.
Первую уязвимость выявили специалисты компании Sucuri. Используя данную брешь, злоумышленник может провести XSS-атаку, добавив JavaScript-код к адресу электронного почтового ящика, который был введен на странице регистрации пользователя. Причиной существования уязвимости является ошибка в сниппете, который размещен в одной из ключевых библиотек Magento. Хакер может воспользоваться уязвимостью в тот момент, когда заказы, которые были размещены пользователями Интернет-магазина, просматриваются администратором. Уязвимостью затронуты все версии Magento CE до 1.9.2.3 и Magento EE до 1.14.2.3.
Источником существования второй бреши является недостаточная фильтрация комментариев к заказу. Злоумышленник может поместить в поле комментария сформированный специальным образом сценарий JavaScript. Попытка просмотра заказа в административной панели спровоцирует выполнение кода. Уязвимость присутствует во всех версиях Magento CE и EE до 2.0.1.
Компания-производитель настоятельно просит пользователей как можно быстрее осуществить обновление платформы Magento.