ทาง Adobe ได้ออกมาแจ้งเตือนเกี่ยวกับช่องโหว่ที่พบใน magento ซึ่งมีหมายเลขช่องโหว่คือ CVE-2020-24407 และ CVE-2020-24400
ช่องโหว่ CVE-2020-24407 ช่องโหว่นี้เกิดจาก การตรวจสอบความถูกต้องของชื่อไฟล์แบบเต็มโดยใช้วิธี “allow list” ในการตรวจสอบนามสกุลของไฟล์ ทำให้แฮกเกอร์ข้ามผ่านการตรวจสอบ และอัปโหลดไฟล์ที่เป็นอันตรายลงไปได้
ช่องโหว่ CVE-2020-24400 ช่องโหว่นี้เกิดจากระบบรักษาความปลอดภัยทำให้แฮกเกอร์สามารถแทรกการค้นหาที่แอพพลิเคชั่นส่งไปยังฐานข้อมูลได้ ทำให้แฮกเกอร์สามารถทำการโจมตีแบบ SQL injection ได้ แฮกเกอร์จะใช้ประโยชน์จากช่องโหว่นี้ทำการอ่าน และเขียนฐานข้อมูลได้
ช่องโหว่นี้มีผลกระทบกับ Magento Commerce เวอร์ชั่น 2.3.5-p1 ลงไป และเวอร์ชั่น 2.4.0 ลงไป กับ Magento Open Source เวอร์ชั่น 2.3.5-p1 ลงไป และเวอร์ชั่น 2.4.0 ลงไป
เพื่อเป็นการป้องกัน แนะนำให้อัปเดตให้เป็นเวอร์ชั่นล่าสุด ซึ่งก็คือ Magento Commerce 2.4.1 กับ Magento Open เวอร์ชั่น 2.3.6
รายละเอียดเพิ่มเติมสามารถดูได้ที่ Adobe Security Bulletin
ที่มา: Threat Post
