タグ付けされた質問 「security」

SUPEE-10975がリリースされました。これを適用しようとして問題が発生した場合、7.2サポートを追加する最新のパッチと競合しますか？ これまでのところ、これらは私が見ることができる変更されたファイルです app/code/core/Mage/Adminhtml/Block/Customer/Group/Edit.php app/code/core/Mage/Adminhtml/Block/Newsletter/Template/Edit.php app/code/core/Mage/Adminhtml/controllers/Cms/BlockController.php app/code/core/Mage/Adminhtml/controllers/Customer/GroupController.php app/code/core/Mage/Adminhtml/controllers/SitemapController.php app/code/core/Mage/Adminhtml/controllers/System/BackupController.php app/code/core/Mage/Captcha/Model/Observer.php app/code/core/Mage/Captcha/Model/Zend.php app/code/core/Mage/Captcha/etc/config.xml app/code/core/Mage/Catalog/Model/Api2/Product/Image/Rest/Admin/V1.php app/code/core/Mage/Catalog/Model/Product/Attribute/Media/Api.php app/code/core/Mage/Cms/Model/Wysiwyg/Images/Storage.php app/code/core/Mage/Core/etc/config.xml app/code/core/Mage/Core/sql/core_setup/upgrade-1.6.0.7.1.1-1.6.0.7.1.2.php app/code/core/Mage/Dataflow/Model/Convert/Container/Abstract.php app/code/core/Mage/ImportExport/Model/Import/Entity/Customer.php app/code/core/Mage/ImportExport/Model/Import/Entity/Customer/Address.php app/code/core/Mage/Payment/etc/config.xml app/code/core/Mage/Payment/etc/system.xml app/code/core/Mage/Payment/sql/payment_setup/upgrade-1.6.0.0.1.1-1.6.0.0.1.2.php app/code/core/Mage/Sendfriend/Block/Send.php app/code/core/Mage/Wishlist/controllers/IndexController.php app/code/core/Zend/Controller/Request/Http.php app/design/adminhtml/default/default/template/cms/browser/content/files.phtml app/design/frontend/base/default/layout/captcha.xml app/design/frontend/base/default/template/wishlist/sharing.phtml app/design/frontend/rwd/default/layout/page.xml app/design/frontend/rwd/default/template/sendfriend/send.phtml app/etc/modules/Mage_All.xml app/etc/modules/Mage_Captcha.xml app/locale/en_US/Mage_Wishlist.csv js/lib/jquery/jquery-1.12.0.js js/lib/jquery/jquery-1.12.0.min.js js/lib/jquery/jquery-1.12.0.min.map js/lib/jquery/jquery-1.12.1.js js/lib/jquery/jquery-1.12.1.min.js js/lib/jquery/jquery-1.12.1.min.map これらの変更で誰かが問題に遭遇しましたか？

16 magento-1  security  patches  php-7.2  supee-10975 

MagentoはSUPEE-9652、Magento 1.x CEおよびEE用のセキュリティパッチをリリースしました このセキュリティ更新プログラムを適用した後に起こりうる問題と、このセキュリティ更新プログラムの新しい変更点を知りたいだけです。

16 magento-1  security  patches  supee-9652 

Magento Community Edition 1.9.2のリリース日はいつですか？ Magentoの公式投稿では、「今後数週間」でリリースされると言われていますが、これはあいまいです。（非公式の）リリース日を知っている人はいますか？ Magento EE 1.14.2はすでに利用可能であり、最新のセキュリティパッチはすべてそこにあることがわかりました。現在実行中のすべてのEE 1.14.1開発プロジェクトをすでに1.14.2に更新しており、1.9.1 CEプロジェクトでもできるだけ早く更新したいと考えています。 更新： CE 1.9.1.1は5月1日にリリースされ、最新のパッチが含まれています。それでも私の質問は残っています

16 security  patches  ce-1.9.2.0  ee-1.14.2.0  ce-1.9.1.1 

Magentoコミュニティエディション1.8.1サイトがハッキングされる数日前に、パッチの適用が遅れているためです。特定のファイルが変更されていることがわかりました index.php [ハッカーがコードを追加しました]。 get.php js / index.php js / lib / ccard.js lib / Varien / Autoload.php また、Magpleasureファイルシステムと呼ばれるモジュールもインストールしました。 しかし、パッチを適用し、ハッカーがアプリケーションの問題に追加したものをすべて削除した後は解決されません。 最終的に3つのファイルを変更するハッカー get.php js / index.php js / lib / ccard.js 不足しているものはありますか？ ファイルを攻撃してそれらを防ぐ方法は？ パッチは機能していますか？どうすれば確認できますか？

16 magento-1.8  patches  security 

テーブルを結合するとき、Zend FrameworkのSQLモデルを使用します。例として、実際のコードを変更しましたが、ポイントが得られると思います。 $this->getSelect()->join( array('sections' => $sectionsTableName), 'main_table.banner_id = pages.banner_id', array() ) ->where("sections.section= '$section' OR sections.section = '0' OR (sections.section = '6' AND ? LIKE main_table.url)",$url) ->group('main_table.banner_id'); ページはajaxでロードされ、$ sectionパラメーターはGETパラメーター（www.example.com/controllerName/index/display/3?paremeter1=example&section=www.example2.com）として送信されます。 誰かが次のようなことを実行した場合の問題は次のとおりです。 www.example.com/controllerName/index/display/3?paremeter1=example&url=(SELECT 3630 FROM(SELECT COUNT(*),CONCAT(0x7170786a71,(SELECT (ELT(3630=3630,1))),0x717a716b71,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) このようにして、ユーザーはデータベース全体をダンプできます。データは表示されませんが、SQLはダンプを実行するため、SQLのオーバーロードが発生する可能性があります。 質問： そのようなシナリオを防ぐ最良の方法は何ですか？ 今、私は以前の顧客を心配しています。このコードを使用すると、テーブルの更新や変更など、さらにリスクの高いアクションを実行できますか？DELETEがsql構文エラーを生成するように、SELECT以外のステートメントをsubselect内に配置できないためだと思います。私は正しいですか？ 更新： 私の例は、$セクションの周りに記号があり、したがって注入を行うことができないため、SQL注入の適切な図ではありません。とにかく、これは整数値を期待するとき、および整数入力をフィルタリングしないときに可能です。以下の私のコメントをご覧ください。

15 model  sql  security  zend-framework 

Magentoには、form_keyCSRF攻撃から保護するために、カートに追加アクションの一部として最近のバージョンがあります。 だから今、私はそれがこの場所に本当に必要なのか、そしてそれがどの特定のシナリオを保護するべきであるのか、またはより良いと言った。

15 magento-1.8  addtocart  security  csrf 

最近、Magentoストアの管理を引き継ぎました。昨日、IT会社から、ストアが安全ではないというメールを受け取りました。イベントの正当性には疑問がありますが、ストアでの最後の注文、登録済みの顧客の数、最後に追加された製品が表示されました。 私が最近管理者になって以来、実現後、どのセキュリティ対策が講じられているのか正確にはわかりません。私が確かに知っている次のこと： 管理パネルのカスタムパスがあります データはhttps経由で送信されます 管理者パスワードは、ランダムな小文字または大文字の文字列です このメールが正当な場合、この問題を修正するにはどうすればよいですか？

15 ce-1.8.1.0  security 

Magento 1用の新しいセキュリティパッチが公開され、APPSECの25の問題に対処 https://magento.com/security/patches/supee-10752 このパッチを適用する際に注意すべき一般的な問題は何ですか？ SUPEE-10752、Magento Commerce 1.14.3.9およびOpen Source 1.9.3.9には、認証された管理ユーザーのリモートコード実行（RCE）、クロスサイトリクエストフォージェリ（CSRF）およびその他の脆弱性を閉じるのに役立つ複数のセキュリティ拡張機能が含まれています。 1.14.3.9および1.9.3.9リリースでのすべての変更に関する情報は、Magento CommerceおよびMagento Open Sourceリリースノートに記載されています。 パッチとアップグレードは、次のMagentoバージョンで利用できます。 Magento Commerce 1.9.0.0-1.14.3.9：SUPEE-10752またはMagento Commerce 1.14.3.9へのアップグレード。 Magento Open Source 1.5.0.0-1.9.3.9：SUPEE-10752またはMagento Open Source 1.9.3.9へのアップグレード。

14 magento-1  patches  security  supee-10752 

MagentoはSUPEE-9767、との更新バージョンをリリースしましたMagento - CE 1.9.3.4。 私の質問はどのバグが解決されたV2かということであり、V2すでに適用してv1いる場合は再適用する必要がありますか？ また、の新しい変更点は何CE 1.9.3.4ですか？新しいセキュリティパッチで修正されるだけですか？ そして、どのv2バージョンのバグがこのバージョンの後も残っています。

12 security  supee-9767  magento-1.9.3.4 

現在、Magentoに最新のパッチを適用していますが、パッチを適用する価値があるのか​​、それとも最新バージョンにアップグレードする価値があるのか​​疑問に思っています。 私が知る限り、唯一の変更はMagentoファイルに含まれているパッチのようです。または、1.9.1.1から1.9.2.1にアップグレードするだけですか？

12 magento-1.9  upgrade  security  patches  ce-1.9.2.1 

クライアントに代わって管理するMagentoのインストールがいくつかあります。脆弱性には既にパッチを適用していますが、警告は引き続き発生します。すべてのサイトで3番目の警告を受け取りました。 1.7.0.2と1.9.1.0の2つの異なるバージョンがデプロイされています。 1.9バージョンにパッチを当てると、いくつかの警告が出ましたが、shファイルの「diff」を実際のコードと照合することで、パッチが適用されたことを確認しました。また、1.9.1.0で既に変更が加えられているため、SUPEE-1533パッチを適用できませんでした。私は他の場所でパッチが1.9.0.1専用であることを発見しました。/app/etc/applied.patches.listにあるSUPEE-5344の数字のみ 1.7.0.2では、別の問題があります。私は両方のパッチを適用することに成功しましたが、SUPEE-5344は代わりにSUPEE-5345と呼ばれています。 警告は徐々に増え続け、クライアントはそれらについて不平を言っています。セキュリティパッチを適用しなかったようです。 また、パッチの命名は少し残念です。SUPEE-5344とSUPEE-5345は、Enterpriseバージョンの名前が付けられています：コミュニティバージョンのパッチをダウンロードしたにもかかわらず、EE_1.12.0.2とEE_1.14.1.0 ... パッチをインストールしたときに何か見逃しましたか？apply.patches.listに正しいパッチ名がある場合、警告は表示されなくなりますか？

12 security  ce-1.9.1.0  patches  ce-1.7.0.1 

http://appcheck-ng.com/unpatched-vulnerabilites-in-magento-e-commerce-platform/にリストされているSWF / Flashの脆弱性ごと 私がMagento 1.9.1.0にまだ存在することを確認しましたが、これに対処する最良の方法は何ですか？これらのswfファイルへのアクセスのブロックまたは制限に関する問題はありますか？

12 magento-1.9  adminhtml  security  skin 

Magentoルートrequire_once 'app/Mage.php';にMage::getStoreConfigシステム変数へのアクセスを許可するファイルがあります。 これはセキュリティリスクを引き起こしますか？別のフォルダに配置する必要がありますか？ これは私のファイル/twitter.phpです： <?php require_once 'app/Mage.php'; Mage::app(); $consumer_key = Mage::getStoreConfig("Social/twitterapi/consumer_key"); $consumer_secret = Mage::getStoreConfig("Social/twitterapi/consumer_secret"); $oauth_access_token = Mage::getStoreConfig("Social/twitterapi/access_token"); $oauth_access_token_secret = Mage::getStoreConfig("Social/twitterapi/access_token_secret");

12 security 

1.8CE Alphaリリースノートから： Magento Webストアには、追加のクロスサイトリクエストフォージェリ（CSRF）保護があります。つまり、詐欺師は、新しく登録された顧客になりすますことができず、顧客に代わってアクションを実行できます。 そして： 以前のバージョンでは、Magentoは登録プロセス中のセッション固定攻撃に対して脆弱でした。アカウントにログインした後、登録ユーザーのセッションIDは変更されませんでした。したがって、攻撃者が不正なセッションIDを知っていて、そのユーザーが正常に登録された場合、攻撃者は新しく登録されたアカウントを引き継ぐことができました。現在、登録が成功するとセッションIDが変更され、アカウントの不正使用が不可能になります。 これがリリースノートにあり、これに対処する以前のバージョンでポイントリリースが表示されない場合（間違った場所を探していますか？）-それは、現在の1.8より前のストアがこれらの攻撃に対して潜在的にオープンであることを意味しますベクトル？ ソース：http : //www.magentocommerce.com/knowledge-base/entry/ce-18-later-release-notes

12 security  magento-1.8  enterprise-1.13 

Magento 2.1.6を使用していますが、パッチを適用しますCE-MAGETWO-67805.patch。 * .patchファイルを適用するにはどうすればよいですか？

12 magento2  security  patches