Sicherheitsupdate für Shop 5.6 & 5.7
JTL stellt mit Shop 5.6.3 und 5.7.3 Sicherheitsupdates für zwei Cross-Site-Scripting-Schwachstellen (XSS) im Admin-Bereich bereit.
Wir empfehlen Betreibern von Shop, zeitnah auf die jeweils aktuelle Version zu aktualisieren.
Was ist die Auswirkung?
Durch unzureichende Maskierung bestimmter Eingaben können speziell präparierte Werte im Admin-Bereich als JavaScript ausgeführt werden. Ein erfolgreicher Angriff könnte dadurch Aktionen im Kontext eines angemeldeten Administrators ermöglichen oder auf Informationen zugreifen, die für dessen Sitzung verfügbar sind.
Uns liegen derzeit keine Hinweise auf eine aktive Ausnutzung der Schwachstellen vor.
Technische Details
Die Schwachstellen sind als Cross-Site Scripting (XSS) einzustufen. In zwei Funktionen des Admin-Bereichs wurden vom Client übermittelte Werte nicht ausreichend kontextbezogen maskiert, bevor sie in HTML ausgegeben wurden. Dadurch konnte präparierter Inhalt in bestimmten Situationen in der Browser-Sitzung eines Administrators ausgeführt werden. Die Korrektur stellt sicher, dass die betroffenen Werte vor der Ausgabe korrekt maskiert werden.
Verfügbarkeit des Updates
Die korrigierten Versionen stehen als Shop 5.6.3 und 5.7.3 zur Verfügung. Die Korrektur ist ebenfalls Bestandteil von Shop 5.8.0.
Wir empfehlen grundsätzlich, den Shop auf einer aktuell unterstützten Version zu betreiben und verfügbare Sicherheitsupdates zeitnah einzuspielen.
Benötigst du weitere Informationen?
Unser Support-Team hilft gern. Bitte erstelle wie gewohnt ein Support-Ticket im JTL-Kundencenter.
