कुछ हफ्ते पहले, हम Magento शॉप का उपयोग करने वाले एक ग्राहक के लिए सुरक्षा स्कैन कर रहे थे। उनकी वेबसाइट का ऑडिट करते समय हमारी टीम को Affiliate Plus मॉड्यूल में एक महत्वपूर्ण भेद्यता मिली। Affiliate Plus की वेबसाइट के अनुसार, 7000+ स्टोर एक्सटेंशन का उपयोग करते हैं। यह Affiliate Plus Magento मॉड्यूल XSS भेद्यता कई Magento स्टोर्स को असुरक्षित छोड़ देती है।
Affiliate Plus Magento मॉड्यूल XSS के बारे में
- अपने स्टोर Magento में एक Affiliate के रूप में लॉग इन करें, 'मेरा प्रोग्राम सेक्शन' पर जाएं
- 'प्रोग्राम नाम' कॉलम में निम्न JS कोड जोड़ें:
<script>alert(/XSS_Vulnerability/)</script>
- 'खोज' बटन पर क्लिक करें
- जावास्क्रिप्ट कोड के निष्पादन का सुझाव देने वाला एक पॉप-अप दिखाई देता है
- इसके अलावा, एप्लिकेशन द्वारा SQL क्वेरीज़ भी दी जाती हैं जिससे SQL त्रुटियों और डेटाबेस संरचना का खुलासा होता है
परिणाम
XSS, सबसे व्यापक रूप से पाई जाने वाली और शोषित भेद्यता में से एक होने के नाते, कुछ महत्वपूर्ण परिणामों के साथ आती है। परावर्तित XSS के मामले में, परिणाम अक्सर किसी विशेष ग्राहक पर लक्षित होते हैं। हालांकि, एडमिन डेटा चुराने और अधिक के उद्देश्य से हमले किए जा सकते हैं। इनमें शामिल हैं:
- अंतिम उपयोगकर्ता डेटा/खाता जानकारी से समझौता
- लक्षित हमलों के माध्यम से एडमिन विवरण चोरी
- वेब ऐप की आंतरिक निर्देशिका संरचना का खुलासा
समयरेखा
Affiliate Plus टीम मुद्दे को समझने में बहुत तेज थी और इसे ठीक करने पर तुरंत काम किया। उन्होंने मॉड्यूल के पैच के साथ अद्यतन संस्करण को तैनात करने और जारी करने में सक्रिय रूप से काम किया। टीम को बधाई!
