Gratis winkelen door lek in webshopsoftware
Er zit een beveiligingslek in osCommerce, de populaire open source webwinkelsoftware, waardoor kwaadwillenden zonder te betalen producten kunnen bestellen. De kwetsbaarheid bevindt zich in osCommerce Online Merchant v2.3.1 in combinatie met de PayPal betaalmodule 1.0, hoewel andere versies mogelijk ook kwetsbaar zijn. De parameter voor het PayPal e-mailadres van de webshop wordt gecontroleerd aan de kant van de koper en wordt niet geverifieerd door de server.
Controle
Hierdoor kan een aanvaller het PayPal e-mailadres wijzigen in een eigen adres en zo goederen op de website bestellen waarbij hij vervolgens zichzelf via PayPal betaalt in plaats van de webshop. Alleen door handmatige controle van bestellingen die via PayPal zijn gedaan zou de fraude zijn te detecteren, aldus het Amerikaanse Computer Emergency Readiness Team (US-CERT).
De ontwikkelaars zouden al op 18 juli door Giancarlo Pellegrino van SAP Research over het lek zijn ingelicht. Het probleem is inmiddels in osCommerce Online Merchant v2.3.4 en v1.1 van de betaalmodule verholpen, maar deze versies zijn nog niet te downloaden.
Het is wachten op malware dat volautomatisch het paypal adres wijzigt (bv met dat o zo veilige java) waardoor je zelf ook geen idee hebt dat je niet aan de webshop hebt betaald :-s
Het is wachten op malware dat volautomatisch het paypal adres wijzigt (bv met dat o zo veilige java) waardoor je zelf ook geen idee hebt dat je niet aan de webshop hebt betaald :-s
Scherp gezien van jou! Soms verbaas ik me over de lekken die gevonden worden, hoe kan zo een grove fout nou over het hoofd gezien worden..
https://github.com/osCommerce/oscommerce2
http://www.oscommerce.com/solutions/oscommerce#content
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
