Sicherheitslücke SQL-Injection in popup_image.php (xt:Commerce v3.0.4 SP1)

[marama]

Vielleicht gibt's ja einen Sicherheitspatch, den ich nicht gefunden habe, in neueren Shopversionen könnte diese Lücke auch schon längst geschlossen sein:

Über eine Lücke in inc/xtc_db_error.inc.php kann ein Angreifer kompletten Lesezugriff auf die Datenbank bekommen wenn er popup_image.php per SQL-Injection angreift. In dokumentierten Fällen wurden damit Kundendaten (Name, Vorname, email, verschlüsseltes Passwort) gestohlen. Zum Glück waren keine Zahlungsinformationen wie Bankdaten oder Kreditkartendaten in der Datenbank.

Das Loch lässt sich ganz einfach schließen indem man in der Datei im Verzeichnis inc "xtc_db_error.inc.php" folgende Zeile

die('<font color="#000000"><b>' . $errno . ' - ' . $error . '<br /><br />' . $query . '<br /><br /><small><font color="#ff0000">[XT SQL Error]</font></small><br /><br /></b></font>');[/PHP]

durch

[PHP]die('<font color="#000000"><b>Database error</b></font>');[/PHP]

ersetzt.

[Steffffi]

danke für die Info!

Würdest Du bitte ev. noch erklären, was der Patch genau tut? Danke.