Magento、Magentoにクロスサイトスクリプティングの脆弱性を確認
Magentoにクロスサイトスクリプティングの脆弱性が確認された。影響を受けるのはMagento CE1.9.2.3以前、Magento EE 1.14.2.3以前、Magento 2 CE & EE 2.0.1以前のバージョンで、ストアフロントで顧客がJavaScriptコードを含んだユーザー名を登録すると、Magentoがこの名前を適切に検証せず、ユーザがバックエンドで編集する際にアドミンコンテキストを実行し、JavaScriptにより管理者セッションが乗っ取られたり、ストア管理者として操作を行う恐れがある。この脆弱性が悪用されると、攻撃者に遠隔からWebサイトが乗っ取られ、新しく作成した管理者権限により個人情報が盗取される恐れがある。解決策としてCE 1.9.2.3、EE 1.14.2.3、CE & EE 2.0.1が公開されており、アップデートによりこの脆弱性は解消される。
