Adobe a corrigé la semaine dernière un total de neuf vulnérabilités dans sa plate-forme de commerce électronique Magento, y compris deux problèmes critiques.

Les vulnérabilités jugées critiques ont été décrites comme un «contournement de la liste d’autorisation de téléchargement de fichiers» qui peut conduire à l’exécution de code arbitraire et une faille d’injection SQL qui peut fournir à un attaquant un accès en lecture ou en écriture à la base de données du magasin ciblé. Cependant, l’exploitation de ces vulnérabilités nécessite des privilèges d’administrateur, ce qui signifie qu’elles doivent être enchaînées avec d’autres faiblesses.

Six des failles de sécurité bouchées la semaine dernière ont été jugées importantes, notamment une autorisation incorrecte, une invalidation de session utilisateur insuffisante et des problèmes de script intersite stocké (XSS).

La seule vulnérabilité qui peut être exploitée sans authentification est la faille XSS, qui peut permettre à un attaquant d’exécuter du code JavaScript arbitraire. Cependant, l’exploitation des bogues XSS nécessite généralement de convaincre l’utilisateur ciblé de cliquer sur un lien ou de visiter une certaine page du site Web ciblé.

Les vulnérabilités de gravité importantes restantes peuvent permettre à un attaquant de modifier les listes de clients, d’accéder à des ressources restreintes et de modifier les pages du CMS.

La seule faille de gravité modérée corrigée avec cette série de mises à jour Magento permet à un attaquant disposant de privilèges d’administrateur d’obtenir des informations, en particulier le chemin d’accès à la racine du document.

Un total de six chercheurs ont été crédités par Adobe pour avoir signalé ces vulnérabilités. Les correctifs sont inclus dans les versions 2.4.1 et 2.3.6 de Magento Commerce et Open Source.

Les boutiques en ligne alimentées par Magento sont souvent ciblées par les cybercriminels dans le but de voler les informations personnelles et financières de leurs clients.

Une attaque récente a impliqué des centaines de magasins Magento piratés chaque jour dans ce que les experts ont décrit comme la plus grande campagne d’écrémage jamais réalisée. Des exploits Magento ont également été utilisés dans une campagne ciblant les clients du Playback Now …