[endriu107]

Ponieważ część z użytkowników nie śledzi co sie dzieje na forach anglojęzycznych postanowiłem podzielić się z wami niezwykle ważna informacja na temat bezpieczeństwa.

Pełny artykuł do przeczytania tutaj: https://www.prestashop.com/forums/topic/544579-major-security-issues-with-few-modules-and-themes/

W skrócie mówiąc zostały wykryte błędy w zabezpieczeniach niektórych modułów które moga doprowadzić do poważnych konsekwencji w działniu i bezpieczeństwie naszego sklepu.

Szablon: Warehouse

Wersja starsza niż 3.7.7. jest podatna na ataki dlatego należy jak najszybciej zaktualizować ją.
 
Moduły dołączone do szablonu które również należy zaktualiowac to:
 
Simpleslideshow
Columnadverts
Homepageadvertise
Productpageadverts
 

Inne moduły które mogą być podatne na ataki to:
 
Advancedslider
Attributewizardpro
Columnadverts
Homepageadvertise
Homepageadvertise2
Productpageadverts
Videostab
vtermslidesshow

oraz natywny moduł który jest w każdej instalacji presty:
 
Send to a Friend


Jeśli korzystać z szablonu Warehouse lub któregokolwiek z wyżej wymienionych modułów sugeruje się wyłączyć moduł i zaktualizować go do najnowszej wersji.

[design4VIP]

ponadto, co mozna wyczytac z tych "fix-ow" nalezy jeszcze zabezpieczyc wszystkie katalogi posiadajace w nazwie "upload" plikiem .htacccess z blokada mozliwosci wykkonywania skryptu PHP. tyczy sie to m.in. modulu AWP i jego katalogu 'file_uploads'. (rozwiazanie/zabezpieczenie dzieki uprzejmosci inten.pl)

[endriu107]

Ja jeszcze dodam że do powyższego zestawienia doszedł moduł Smartblog, należy go zaktualizować do wersji przynajmniej 2.0.2. Moduł niestety jest podatny na sqlinjection i sam autor modułu padł ofiarą ataku jak i kilka innych sklepów. Dodatkowo warto w sklepach stosować niestandardowe prefixy tabel które skutecznie utrudniają ataki tą właśnie metodą.

[west]

znalazłem na Git https://github.com/smartdatasoft/smartblog ten moduł i 8 dni temu zostały opublikowane poprawki do niego niestety nie weryfikowałem czy działa. @endriu piszesz o wersji 2.0.2 na git jest 2.1. nic dziwnego, że ktoś się włamał do archiwum

[endriu107]

Tak piszę że przynajmniej 2.0.2 ponieważ ona została wydana 01.08.2016 i jest to pierwsza wersja zabezpieczona. Moduł składa się z kilku komponentów i po wykryciu luki, a tak na prawdę po atakach ponieważ luka została wykryta 6 miesięcy temu, należy zaktualizować również wszystkie komponenty do tego modułu. W chwili obecnej autor wypuścił już łącznie 5 komponentów wraz z głównym, nie pamiętam ile było dokładnie wszystkich ale około 10 więc należy czekać aż autor poprawi pozostałe.

[west]

to się jakoś numeracja nie zgadza

[endriu107]

Nie wiem na ile wersja z githuba jest zbieżna z modułem udostępnionym na forum prestashop, natomiast każdy zainteresowany może sam prześledzić losy tego modułu: https://www.prestashop.com/forums/topic/545136-prestashop-blog-module/

[west]

Ponieważ część z użytkowników nie śledzi co sie dzieje na forach anglojęzycznych postanowiłem podzielić się z wami niezwykle ważna informacja na temat bezpieczeństwa.

Pełny artykuł do przeczytania tutaj: https://www.prestashop.com/forums/topic/544579-major-security-issues-with-few-modules-and-themes/

W skrócie mówiąc zostały wykryte błędy w zabezpieczeniach niektórych modułów które moga doprowadzić do poważnych konsekwencji w działniu i bezpieczeństwie naszego sklepu.

Szablon: Warehouse

Wersja starsza niż 3.7.7. jest podatna na ataki dlatego należy jak najszybciej zaktualizować ją.
 
Moduły dołączone do szablonu które również należy zaktualiowac to:
 
Simpleslideshow
Columnadverts
Homepageadvertise
Productpageadverts
 

Inne moduły które mogą być podatne na ataki to:
 
Advancedslider
Attributewizardpro
Columnadverts
Homepageadvertise
Homepageadvertise2
Productpageadverts
Videostab
vtermslidesshow

oraz natywny moduł który jest w każdej instalacji presty:
 
Send to a Friend


Jeśli korzystać z szablonu Warehouse lub któregokolwiek z wyżej wymienionych modułów sugeruje się wyłączyć moduł i zaktualizować go do najnowszej wersji.

plik .htaccess do blokowania wykonywania plików:

Kod: [Zaznacz]

<IfModule mod_mime.c>
RemoveHandler .php .phtml .php3 .php4 .php5
RemoveType .php .phtml .php3 .php4 .php5
</IfModule>
<IfModule mod_php5.c>
php_flag engine off
</IfModule>