Prestashop Security

[_sashok]

Major Security Vulnerability On PrestaShop Websites​

A NEWLY FOUND EXPLOIT COULD ALLOW REMOTE ATTACKERS TO TAKE CONTROL OF YOUR SHOP.​

Written by
PrestaShop team

Published
Jul 22, 2022

https://build.prestashop-project.org/news/2022/major-security-vulnerability-on-prestashop-websites/

Вам ещё нужны аргументы, чтобы обновиться наконец ?

И не думайте, что ваш сайт никому не нужен...

Рашисты и другие недоброжелатели - не спят, и любой сайт или сервер можно использовать для своих тёмных делишек

 

[byura]

доп инфо

Для информации, файл blm.php удаляется после инъекции.
Файл XXXXXX.js создается в каталоге /js сайта.
Он генерируется из PHP-инъекций, сделанных в нескольких php-файлах:
- /classes/Controller.php (Добавлено в функции smartyOutputContent())
- /classes/Db/Db.php (добавлено в конце файла)
- /controllers/AdminLoginController.php (добавлен в функцию processLogin()) Касается только 1.5/1.6
- /classes/modules/Module.php (добавлен в конец файла) и модификация функции _generateConfigXml()

В итоге ваши платежные модули становятся невидимыми и заменяются страницей платежа со всей информацией о платеже (сумма, страна, происхождение, контактные данные и т.д.), а в китайском магазине формируется заказ на ту же сумму в китайский банк.
Если клиент подтверждает 3DSecure, то платеж подтверждается.

 

[byura]

доп проверяем: если включен умный кеш mysql переключаем на кеш файловой системы
Prestashop 1.6/1.7 уязвимы при включении этой функции.

 

[_sashok]

и следите за актуальностью каждого модуля

самое простое в данном случае:
полностью удалить файлы модуля blockwishlist
тем более если не пользуетесь ним

а свежие версии лучше брать в официальном французском репозитории:

blockwishlist 2.1.1 - уже там месяц как лежит пофиксенный )

Releases · PrestaShop/blockwishlist

Adds a block containing the customer's wishlists. Contribute to PrestaShop/blockwishlist development by creating an account on GitHub.

github.com

 

[savvato]

скрипт для устранения вируса на зараженном сайте.

https://psmoduly.cz/modules_download_22/psql_find_nakaza_SPECIFIC_46045e87d3366a10dde0c1e80e0dd3aa.zip

больше информации на этой странице

 

[byura]

Этот бесплатный модуль может сканировать ваш сайт на наличие уязвимостей и помочь вам создать безопасную среду.
Модуль также предназначен для удаления вредоносных программ с зараженных сайтов!
Шаг 1: Загрузите последнюю версию модуля: https://github.com/MathiasReker/blm-vlun/releases/latest .
Шаг 2: Установите модуль на свой сайт PrestaShop.
Шаг 3. Откройте модуль и нажмите «Запустить процесс очистки».
Модуль требует PrestaShop 1.6.1+ и PHP 7.0.