Vulnerabilidad crítica de inyección SQL de Magento descubierta – Parchee sus sitios

Vulnerabilidad de seguridad del sitio web de Magento

Si su negocio de comercio electrónico en línea se ejecuta en la plataforma Magento, debe prestar atención a esta información.

Magento lanzó ayer nuevas versiones de su software de administración de contenido para abordar un total de 37 vulnerabilidades de seguridad descubiertas recientemente.

Propiedad de Adobe desde mediados de 2018, Magento es una de las plataformas de sistema de administración de contenido (CMS) más populares que impulsa el 28% de los sitios web en Internet con más de 250,000 comerciantes que utilizan la plataforma de comercio electrónico de código abierto.

Aunque la mayoría de los problemas informados solo pueden ser explotados por usuarios autenticados, una de las fallas más graves en Magento es una vulnerabilidad de inyección SQL que puede ser aprovechada por atacantes remotos no autenticados.

La falla, que no tiene una ID de CVE pero está etiquetada internamente como «PRODSECBUG-2198», podría permitir que los piratas informáticos remotos roben información confidencial de las bases de datos de los sitios web de comercio electrónico vulnerables, incluidas las sesiones de administración o los hash de contraseñas que podrían otorgar acceso a los piratas informáticos. panel de administración.

Las versiones de Magento afectadas incluyen:

  • Código abierto de Magento anterior a 1.9.4.1
  • Magento Commerce anterior a 1.14.4.1
  • Magento Commerce 2.1 anterior a 2.1.17
  • Magento Commerce 2.2 anterior a 2.2.8
  • Magento Commerce 2.3 anterior a 2.3.1

Dado que los sitios de Magento no solo almacenan la información de los usuarios, sino que también contienen el historial de pedidos y la información financiera de sus clientes, la falla podría provocar ataques en línea catastróficos.

Dada la naturaleza sensible de los datos que los sitios web de comercio electrónico de Magento manejan a diario, así como el riesgo que representa la vulnerabilidad de SQL, los desarrolladores de Magento han decidido no publicar los detalles técnicos de la falla.

Además de la vulnerabilidad SQLi, Magento también ha parcheado la falsificación de solicitudes entre sitios (CSRF), las secuencias de comandos entre sitios (XSS), la ejecución remota de código (RCE) y otras fallas, pero la explotación de la mayoría de esas fallas requiere que los atacantes estén autenticados en el sitio con cierto nivel de privilegios.

Se insta a los propietarios de tiendas en línea a actualizar sus sitios web de comercio electrónico a las versiones recientemente parcheadas lo antes posible antes de que los piratas informáticos comiencen a explotar la falla para comprometer sus sitios web y robar los detalles de las tarjetas de pago de sus clientes.

Continua leyendo

Deja una respuesta

Tu dirección de correo electrónico no será publicada.

Newsletter Signup

Suscríbete a nuestra lista si te interesa recibir turcos exclusivos sobre hacking y seguridad informática