В открытой платформе для организации электронной коммерции Magento, которая занимает около 10% рынка систем для создания интернет-магазинов, выявлена  критическая уязвимость (CVE-2022-24086), позволяющая выполнить код на сервере через отправку определённого запроса без прохождения аутентификации. Уязвимости присвоен уровень опасности 9.8 из 10...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=56714

• Критическая уязвимость в платформе электронной коммерции Mag...,полураспад, 11:07 , 17-Фев-22
  • Критическая уязвимость в платформе электронной коммерции Mag...,Аноним, 11:28 , 17-Фев-22
    • Критическая уязвимость в платформе электронной коммерции Mag...,bugmenot, 13:53 , 17-Фев-22
    • Критическая уязвимость в платформе электронной коммерции Mag...,Аноним, 11:33 , 18-Фев-22
  • Критическая уязвимость в платформе электронной коммерции Mag...,Аноним, 12:18 , 17-Фев-22
    • Критическая уязвимость в платформе электронной коммерции Mag...,пох., 13:16 , 17-Фев-22
  • Критическая уязвимость в платформе электронной коммерции Mag...,userd, 16:29 , 17-Фев-22
    • Критическая уязвимость в платформе электронной коммерции Mag...,., 17:17 , 17-Фев-22
• Критическая уязвимость в платформе электронной коммерции Mag...,InuYasha, 11:23 , 17-Фев-22
  • Критическая уязвимость в платформе электронной коммерции Mag...,пох., 14:00 , 17-Фев-22
• Критическая уязвимость в платформе электронной коммерции Mag...,Michael Shigorin, 11:32 , 17-Фев-22
  • Критическая уязвимость в платформе электронной коммерции Mag...,Аноним, 11:38 , 17-Фев-22
    • Критическая уязвимость в платформе электронной коммерции Mag...,Дормидонт, 13:29 , 17-Фев-22
      • Критическая уязвимость в платформе электронной коммерции Mag...,kusb, 13:43 , 17-Фев-22
• Критическая уязвимость в платформе электронной коммерции Mag...,Аноним, 12:01 , 17-Фев-22
  • Критическая уязвимость в платформе электронной коммерции Mag...,ryoken, 12:51 , 17-Фев-22
  • Критическая уязвимость в платформе электронной коммерции Mag...,Аноним, 12:59 , 17-Фев-22
  • Критическая уязвимость в платформе электронной коммерции Mag...,kusb, 13:40 , 17-Фев-22
• Критическая уязвимость в платформе электронной коммерции Mag...,жявамэн, 18:14 , 17-Фев-22
  • Критическая уязвимость в платформе электронной коммерции Mag...,Аноним, 02:31 , 18-Фев-22

> исправление сводится к очистке символов

это что за костыль?

Шел похапешник по $_REQUEST. Видит - eval() и include() простаивают без дела. Взял и выполнил пользовательские параметры как код.

Хорошая шутка :)

А я всегда отправляю пользовательский ввод в eval, без всяких там фильтров. И да мои сервисы работают от root, меня не разу не ломали

Фильтрация входных данных это не костыль

Фильтрация "ниправильных" символов - это именно костыль. Который выскальзывает и больно бьет по балде, причем каждый раз, проблема только что макаки - необучаемы.

Судя по регулярному выражению какие-то сырые данные "протекают" в шаблонизатор и там могут выполняться как код. Template injection. Правильное исправление требует времени, поскольку нужно найти все проблемные места, а пока только простая затычка.

Ну да, не ограничивать же данные допустимыми символами сразу на входе. Это не по пацански!

>поступивших от пользователя параметров

Что, опять страдания по типизации? ) Или отрицательное количество посчитали? :D

Зачем, когда можно просто попытаться их выполнить как код? Вдруг там что хорошее?!

Дыркомагнито :(

http://www.opennet.me/keywords/magento.html

>Дыркомагнито

Классный злодей в людях-Х

В людях xxx разве что

Люди xxy

Подождите, я что-то не понял. Magento, Mageia, и Manjaro -- это разное?

Угу. Даже не однофамильцы.

Сидели вместе.

Есть ещё магнетто - движок для портала dcpp

>php

Ясна панятна.

Вот жабам бы не квакать)