Найдена Серьёзная Уязвимость В Cs-Cart. Просим Срочно Принять Меры

Общее Общие вопросы
1

Здравствуйте!

Мы обнаружили серьёзную уязвимость, которая затрагивает все версии CS-Cart и Multi-Vendor 4.x.x, в том числе и самую свежую, 4.6.3. Поэтому мы сообщаем о проблеме всем владельцам магазинов, чтобы они могли принять меры. Уязвимость позволяет злоумышленнику получить доступ в панель администратора без авторизации, но только если злоумышленник знает URL скрипта, через который осуществляется вход.

Проблему нашли специалисты из команды разработки CS-Cart, и случаев использования этой уязвимости мы пока не обнаружили. Чтобы вы успели принять меры, мы пока не разглашаем все подробности об этой уязвимости. Хотя проблема может затронуть не все интернет-магазины на версии 4.x.x (всё зависит от настроек сервера), мы крайне не рекомендуем её игнорировать. Пожалуйста, примите одну из следующих мер как можно скорее:

  • Если вы используете CS-Cart или Multi-Vendor 4.6.3, установите Service Pack 1, который уже доступен в Центре обновлений.

  • Если вы используете более старую версию CS-Cart или Multi-Vendor 4.x.x, воспользуйтесь инструкциями ниже

    • В директории с установленным CS-Cart или Multi-Vendor найдите в папке app/Tygh файл Bootstrap.php

    • Найдите в этом файле следующую строку:

      if (empty($server['REQUEST_METHOD'])) {

    • Замените её на следующую строку и сохраните изменения:

      if (PHP_SAPI === 'cli') {

После этого уязвимость в вашем магазине будет закрыта.

2

Так нельзя, товарищи. Внимательнее надо, даже когда благотворительность. КАВЫЧКИ КАКИЕ у вас у значения??? Убивает функцию initConsoleMode.

Я через сутки только на распухший лог обратил внимание. Очень надеюсь, что на оформление заказа эта функция не влияет!

3

Это форум сам правит кавычки. Натыкались уже на такое

1 лайк
4

Спасибо, что сообщили. Исправил.

Если пост оформлен правильно, такого не должно быть. Чтобы встроить код, можно писать ``` над и под фрагментом с кодом. Например:

```
Здесь будет код
```

Когда правил, то заметил, что внутри моего поста кавычки были правильные. Но неправильно был оформлен сам блок с кодом. Это произошло потому, что пост от 2017 года и писался ещё для старого форума, на другом движке и с другой разметкой.

Когда переезжали на новый форум, мы автоматически перенесли все посты. Не все блоки с кодом переносились корректно. И естественно, все посты за 10 лет не проверялись. А сейчас я просто убрал HTML-разметку из поста, прописал ```, и всё заработало.

P.S. На тот момент этой теме было не меньше года. И всем, для кого проблема тогда была актуальна, мы ещё рассылали письма с предупреждениями.

5

Если еще встретимся с таким, сообщу. Пару раз кавычки точно автозаменялись

1 лайк