Wer einen Joomla! Webshop mit HikaShop Version 2.3.2 oder älter betreibt oder die Marktplatz-Komponente Hika Market in den Versionen 1.4.2 oder 1.4.3 im Einsatz hat, sollte in diesen Tagen ein besonderes Augenmerk auf seine Installation werfen und auf die neuste Version aktualisieren.
Denn es wurde in den oben genannten Versionen ein Leck bekannt, dem es dem Angreifer ermöglicht, Schadcode in die Website einzuschleusen.
Nachdem vorletzte Woche bekannt wurde, dass die Shopkomponente VirtueMart ein Leck hat, ist diese Woche die Shop-Komponente HikaShop von einer Sicherheitslücke betroffen.
Der Sicherheitsprovider Sucuri hat heute das Sicherheitsleck in der Ecommerce-Komponente HikaShop publik gemacht. Dabei kann der Angreifer mittels der standardmässig eingestellten Nutzeraktivierung (Email-Aktivierung), den Code derart anpassen, dass es möglich wird die Konfiguration der Site auszulesen sowie Dateien der Site zu manipulieren oder Malware einzuschleusen.
Die Entwickler haben auf ihrer Website detailliert beschrieben, wie man die Lücke manuell schliessen kann. Zudem wurde die Version 2.3.3 von HikaShop und die Version 1.4.4 von Hika Market zum Download frei gegeben. Wer also keine eigenen Hacks integriert hat und darum updaten kann, sollte dies schleunigst tun.
Alle anderen Nutzer von HikaShop die aus irgendwelchen Gründen nicht sofort aktualisieren können sollte mind. die Datei in:
administrator/components/com_hikashop/classes/user.php
ersetzen oder die Zeile mit dem entsprechenden Code anpassen.
Nutzer deren Subscription-Abo in diesen Tagen ausgelaufen ist, können ihr Konto freundlicherweise bis 10. Oktober 2014 verlängern um das wichtige Update noch herunterladen und installieren zu können.
Quelle: http://www.hikashop.com