EC-CUBE 開発コミュニティ

その他 > その他 > 脆弱性「マイページのお届け先情報入力ページでのXSS」について

その他

投稿者	スレッド
popo	投稿日時: 2009/7/28 19:13 対応状況: −−−
長老登録日: 2008/10/1 居住地: 投稿: 189	脆弱性「マイページのお届け先情報入力ページでのXSS」について正式版2.3.0を利用しています。セキュリティホールの対応をしようと思い、下記のページを参照して１つずつ修正していました。 http://www.ec-cube.net/info/weakness/index.php その中の「マイページのお届け先情報入力ページでのXSS」を修正していた所、『87行目付近』の修正箇所に該当のプログラムがありませんでした。 http://www.ec-cube.net/info/weakness/weakness.php?id=18 ８７行目付近に下記の記述がありません。引用： $ob$this->tpl_onload = "fnUpdateParent('". $this->getLocation($_POST['ParentPage']) ."'); window.close();"; ８７行目付近には下記の記述があります。引用： if ($_GET['other_deliv_id'] != ""){ //不正アクセス判定 $flag = $objQuery->count("dtb_other_deliv", "customer_id=? AND other_deliv_id=?", array($objCustomer->getValue("customer_id"), $_SESSION['other_deliv_id'])); if (!$objCustomer->isLoginSuccess() \|\| $flag == 0){ SC_Utils_Ex::sfDispSiteError(CUSTOMER_ERROR); } } どのように修正したら良いのでしょうか？アドバイスをお願い致します。

seasoft	投稿日時: 2009/7/28 19:18 対応状況: −−−
神登録日: 2008/6/4 居住地: 投稿: 7367	Re: 脆弱性「マイページのお届け先情報入力ページでのXSS」について配布されている、2.3.0 と 2.3.1 のソースを査読すると、何か分かる予感。旧バージョンの取得については、下記スレッドが参考になるかも。(私は試していませんが) http://xoops.ec-cube.net/modules/newbb/viewtopic.php?topic_id=4359&forum=4 ---------------- Seasoft こちらでの投稿は、アイディア程度に留めさせていただいております。個別案件の作業は有償で承っております。お気軽にご相談ください。

AMUAMU	投稿日時: 2009/7/29 11:51 対応状況: −−−
神登録日: 2009/5/2 居住地: 東京都投稿: 2712	Re: 脆弱性「マイページのお届け先情報入力ページでのXSS」について以前2.3.0のバージョンアップをしたときの資料を軽く見てみたところ、行は違うようですが、問題のコードと同じ内容はコードの真ん中あたりにもあるようです。同じ部分を差し替えれば基本的には良いと思います。 ---------------- EC-CUBE公式エヴァンジェリスト EC-CUBEインテグレートパートナー (株)スピリット・オブ移転・拡張・高速化・問題解決各種カスタマイズ・支援依頼承ります。 [url=h

popo	投稿日時: 2009/7/31 16:47 対応状況: −−−
長老登録日: 2008/10/1 居住地: 投稿: 189	Re: 脆弱性「マイページのお届け先情報入力ページでのXSS」についてアドバイスありがとうございます。なぜか同じような記述がどこにもないんですあとその他のファイルも修正したら、注文処理でエラーが発生したりして、何か問題がありそうなので、元に戻して運営する事にしました。ん〜、ただ単に記述を書き換えるだけではダメみたいです。最新版を導入する必要があるのかな。。。いろいろとカスタマイズしているから大変だけど。

AMUAMU	投稿日時: 2009/7/31 18:47 対応状況: −−−
神登録日: 2009/5/2 居住地: 東京都投稿: 2712	Re: 脆弱性「マイページのお届け先情報入力ページでのXSS」について 2.3.0でも同様のコード部分はあるので、カスタマイズに伴って取り除いたり、色々変えている可能性の方が高いような感じですね・・・うまくマージするのは中々大変だと思いますが頑張ってやるしかないかと思います。 ---------------- EC-CUBE公式エヴァンジェリスト EC-CUBEインテグレートパートナー (株)スピリット・オブ移転・拡張・高速化・問題解決各種カスタマイズ・支援依頼承ります。 [url=h