Vulnerabilidade crítica de Injeção Magento SQL descoberta

21 Apr 2019

Se o seu negócio de e-commerce on-line estiver passando pela plataforma Magento, você deve prestar atenção a essas informações.

Magento divulgou ontem novas versões de seu software de gerenciamento de conteúdo para solucionar um total de 37 vulnerabilidades de segurança recém-descobertas.

De propriedade da Adobe desde meados de 2018, o Magento é uma das plataformas de sistema de gerenciamento de conteúdo mais popular (CMS) que alimenta 28% dos sites da Internet com mais de 250.000 comerciantes usando a plataforma de e-commerce de código aberto. Embora a maioria dos problemas relatados só possa ser explorada por usuários autenticados, uma das falhas mais graves no Magento é uma vulnerabilidade de SQL Injection, que pode ser explorada por invasores remotos não autenticados.



A falha, que não tem um ID CVE, mas internamente rotulado "PRODSECBUG-2198", pode permitir que hackers remotos roubem informações confidenciais dos bancos de dados de sites de comércio eletrônico vulneráveis, incluindo sessões administrativas ou hashes de senhas que podem conceder acesso a hackers. painel de administração.

As versões do Magento afetadas incluem:

  • Magento Open Source antes de 1.9.4.1
  • Magento Commerce antes de 1.14.4.1
  • Magento Commerce 2.1 antes de 2.1.17
  • Magento Commerce 2.2 antes da 2.2.8
  • Magento Commerce 2.3 antes de 2.3.1


Como os sites do Magento não apenas armazenam informações dos usuários, mas também contêm histórico de pedidos e informações financeiras de seus clientes, a falha pode levar a ataques on-line catastróficos.


Dada a natureza sensível dos dados que os sites de e-commerce Magento lidam diariamente, assim como o risco que a vulnerabilidade SQL representa, os desenvolvedores do Magento decidiram não divulgar detalhes técnicos da falha.


Além da vulnerabilidade do SQLi, o Magento também corrigiu falsificação de solicitações entre sites (CSRF), cross-site scripting (XSS), execução remota de código (RCE) e outras falhas, mas a exploração da maioria dessas falhas requer que invasores sejam autenticados o site com algum nível de privilégios.

Os donos de lojas on-line devem atualizar seus sites de comércio eletrônico para as versões atualizadas, o mais rápido possível, antes que os hackers comecem a explorar a falha para comprometer seus sites e roubar detalhes do cartão de pagamento de seus clientes.







Powered by WHMCompleteSolution