Magento Core中的SQL注入等多个缝隙安全公告

颁布功夫 2019-04-01

缝隙编号和级别


CVE编号：：暂无， ，，危险级别：：高危， ，， CVSS分值：：厂商自评：：8.8， ，，官方未评定


影响版本：：


Magento Commerce2.3,2.2和Magento Open Source2.1


缝隙概述


Magento是一套专业开源的电子商务系统。。Magento设计得极度矫捷， ，，拥有�？榛芄瓜低澈头崴兜闹澳�。。其面向企业级利用， ，，可处置各方面的需要， ，，以及建设一个多种用处和合用面的电子商务网站。。蕴含购物、、航运、、产品评论等等， ，，充分利用开源的个性， ，，提供代码库的开发， ，，极度规范的尺度， ，，易于与第三方利用系统无缝集成。。


Magento颁布了一系列更新， ，，蕴含Magento Commerce2.3.1,2.2.8和Magento Open Source2.1.17 以修复其平台中的多个安全缝隙。。更新解决的一个关键缝隙是SQL注入缝隙， ，，该缝隙可能允许攻击者执行恶意代码， ，，并从基于Magento的网站使用的数据库中获取敏感信息。。其他缝隙蕴含远程代码执行、、跨站剧本编写、、权限提升、、跨站要求伪造以及信息泄露缝隙。。
Magento在国内的情况如下图：：


OG东方厅·(中国大陆)


缝隙利用：：


SQL注入缝隙EXP: https://cxsecurity.com/issue/WLB-2019030247。。


修复建议


建议Magento用户尽快更新到最新版本：：Magento Commerce2.3.1,2.2.8和Magento Open Source2.1.17：：https://magento.com/security/patches/magento-2.3.1-2.2.8-and-2.1.17-security-update。。


参考链接


https://blog.sucuri.net/2019/03/sql-injection-in-magento-core.html
https://cxsecurity.com/issue/WLB-2019030247
https://magento.com/security/patches/magento-2.3.1-2.2.8-and-2.1.17-security-update