Zen Cart vá nhiều lỗ hổng XSS trong phiên bản mới

Zen Cart vừa ra bản cập nhật mới, vá nhiều lỗ hổng XSS (Cross-Site Scripting). Zen Cart thuộc Top 10 ứng dụng nguồn mở xây dựng trang thương mại điện tử phổ biến hiện nay.
Các vấn đề an ninh được các chuyên gia phát hiện ảnh hưởng tới phiên bản 1.5.4 và có thể cả các phiên bản trước đó. Zen Cart phát hành phiên bản mới 1.5.5 khắc phục lỗ hổng đồng thời giới thiệu tính năng mới.

Theo các chuyên gia, các lỗ hổng XSS tồn tại trong phần quản trị của Zen Cart, nhưng một vấn đề thuộc phần không được xác thực của ứng dụng. Các lỗ hổng ảnh hưởng tới nhiều thông số của một số truy vấn. Việc chèn XSS độc hại có thể dẫn đến truy cập cookies và thông tin nhạy cảm hoặc thay đổi giao diện trang.

Một trong những lỗ hổng XSS được phát hiện trên cổng thông tin thanh toán Zen Cart tồn tại ở thông số comment, được thử nghiệm thành công trên Firefox 39. Một comment có mã trả về (Redemtion Code) không hợp lệ có thể dẫn đến ánh xạ các comment trong vùng văn bản không được lọc, và XSS tồn tại trong suốt phiên người dùng.

Các chuyên gia cũng phát hiện việc truyền dữ liệu dạng cleartext các thông tin nhạy cảm liên quan đến mật khẩu trong phản hồi đăng nhập lỗi. Khi đăng nhập bằng mật khẩu không hợp lệ, phản hồi kết quả có chứa mật khẩu không hợp lệ đó.

Ngoài ra, nhiều lỗ hổng XSS được phát hiện trên giao diện quản trị Zen Cart, bao gồm lỗ hổng trong cảnh báo, lỗ hổng trong quét hiện thời và một số vấn đề XSS khác.

Những lỗ hổng này được phát hiện từ năm ngoái và được báo cho Zen Cart vào tháng 9, tuy nhiên bản vá cho lỗ hổng chỉ vừa được đưa ra vào tháng này. Các chuyên gia cho biết, họ không chỉ thông báo các vấn đề cho Zen Cart mà còn hỗ trợ khắc phục.

Các lỗ hổng XSS đề cập ở trên được khắc phục trên Zen Cart 1.5.5, khách hàng được khuyến cáo cập nhật bản mới sớm nhất có thể.

Các chuyên gia cũng lưu ý rằng một trong những lỗ hổng an ninh XSS được phát hiện vẫn tồn tại trên ứng dụng. Tuy nhiên, do cơ chế bảo vệ truy vấn CSRF (Cross-Site Request Forgery), việc khai thác cần có quyền admin cho ứng dụng.

Tháng 11 năm ngoái, Zen Cart đã vá lỗ hổng nghiêm trọng chứa tập tin PHP, ảnh hưởng đến file /ajax.php. Lỗ hổng được Zen Cart vá trong vòng 24 giờ từ khi nhận được thông báo.