Thema: VirtueMart: Kunde erlangt Superuserrechte!

Hallo Leute!

Dies ist mein erster Beitrag im Forum. Bisher gehörte ich nur zu den stillen Mitlesern und habe schon viel von den Infos hier profitiert!

Nun meine ich aber, eine kritische Sicherheitslücke in VirtueMart 1.1.0 entdeckt zu haben.
Folgendes Phänomen:

EIn Kunde legt etwas in den Warenkorb und geht zur Kasse. Anschließend wird dieser nach seinen persönlichen Daten gefragt und trägt diese - nebst Benutzernamen und Passwort - ein. Am Ende ist aber der Warenkorb wie von Geisterhand wieder geleert und Kunde verlässt enttäuscht das Portal (ein Fehler, dem ich noch nicht auf der Spur gekommen bin).

Ich habe dies gesehen und wollte daraufhin den Shop erst einmal schließen und in Ruhe auf Fehlersuche gehen, kann mich aber mit meinen Zugangsdaten nicht mehr ins BackEnd einloggen.

Daraufhin habe ich mir die Datenbank angesehen und musste zu meinem großen Erschrecken feststellen, dass besagter Kunde meine Zugangsdaten mit seinen überschrieben hatte. Daraufhin hatte also dieser Kunde Superuserrechte und hätte allerlei Unfug anstellen können!!

Ich habe dann die Daten geändert, mich eingeloggt und erstmal den Shop geschlossen.
Aber das ist ja ein Fataler BUG, der sonstwas verursachen kann.

Ist jemanden etwas in der Richtung bekannt? Ist der Fehler verifizierbar?
Ich werde jetzt gleich meinen Shop mal testweise öffnen und mich als Kunde registrieren. Mal sehen, was passiert. In jedem Fall ein beunruhigender Vorgang...

Bye, Mike

nun ich würde dein Bug Problem einfach mal im Buftracker posten
macht wenig Sinn das in einen Forum zu posten wo der Entwickler
seltenst vorbei kommt
http://dev.virtuemart.net/cb/wiki/2180

ansonsten gibt es ja mittlerweile Version 1.1.1
keine Ahnung ob die Dein Problem evtl. auch lösst...

Zitat von patzi

nun ich würde dein Bug Problem einfach mal im Buftracker posten
macht wenig Sinn das in einen Forum zu posten wo der Entwickler
seltenst vorbei kommt
http://dev.virtuemart.net/cb/wiki/2180

ansonsten gibt es ja mittlerweile Version 1.1.1
keine Ahnung ob die Dein Problem evtl. auch lösst...

Okay, ich wollte es auch nur mal als Warnung hier reinstellen, damit evtl. andere Nutzer auch ein Auge drauf haben und wissen, dass so etwas u.U. passieren kann.
Version 1.1.1 soll wohl keine sicherheitsrelevanten Updates beinhalten.

Bye, Mike

Zitat von Zauberfrosch

Okay, ich wollte es auch nur mal als Warnung hier reinstellen, damit evtl. andere Nutzer auch ein Auge drauf haben und wissen, dass so etwas u.U. passieren kann.
Version 1.1.1 soll wohl keine sicherheitsrelevanten Updates beinhalten.

Bye, Mike

Ist ja richtig nur sollte auch in erster Linie der Entwickler informiert sein
damit er bei solch einen bug schnell Abhilfe schaffen kann...