php避难所缺陷为电子商务网站打开了后门
更新X-Cart的开发人员电子商务平台已解决了一个未经验证的文件写问题，该文件提出了远程代码执行（RCE）风险。
安全研究员尼基·布洛尔（Nicky Bloor）发现了一个安全缺陷X-Cart允许攻击者控制文件写操作的路径和部分内容的电子商务平台。
该漏洞是在X-Cart的5.4.1.8和5.4.0.13中固定的，允许Bloor发布详细的技术文章在星期五（8月21日）。
该问题源于避难所弱点，当与其他安全性缺点结合使用时，它为攻击者创造了将包含嵌入式PHP代码的JSON文件编写为任意路径的JSON文件的手段。
不安全的挑战漏洞，例如恰当的情况，为攻击者创造了一种操纵序列化对象以更改程序流量的手段。
这种类型的缺陷留下了X-Cart的未插入版本，严重容易受到各种恶作剧的影响。
布洛尔告诉每日swbeplay2018官网ig他认为易于利用的脆弱性的影响将是严重的。
布洛尔解释说：“除非有人竭尽全力硬化部署（有可能使其在此过程中难以使用和维护），这是对应用程序的完全妥协。”
这个脆弱性他补充说，特定于X-Cart和“琐碎的利用”。
Bloor警告说：“要澄清 - 在大多数情况下（潜在的盗窃/欺诈）将有可能进行完整的数据库访问，并且可能可以在应用程序（Siphon关闭密码和潜在的付款详细信息）后进行回门。”
事件（联合国）响应
布洛尔继续质疑X-Cart对事件的回应。
他说：“我在1月/2月发现了这种脆弱性，但直到我在7月14日发推文补救建议时，我才听到他们的来信。”
“在那之后，他们很快就将其修复了，我同意在修补问题后坚持发布30天的细节。”
我不做Bug Bounties，但他们提供了75美元的漏洞，而不会更糟的是（默认配置中的应用程序的完全妥协）。”他总结道。
beplay体育能用吗Web搜索返回了1,140个站点，其中包含“由X-Cart供电”的字符串。
这家零售技术公司通过其Changelog（这里和这里），而不是咨询。
每日swbeplay2018官网ig已经与X-Cart联系，以找出它是否检测到了对问题的任何剥削，以及它可能对无法立即部署其软件更新的客户可能对解决方法和围栏有什么建议。
X-Cart确认该问题已经解决，但没有解决我们的次要问题。
“我们在X-Cart VV。5.4.1.8、5.4.0.13和5.3.6.8中发布了修复程序。”回复从其官方的Twitter帐户中。
这个故事于8月25日更新了，以添加X-Cart的评论
