Hallo, gerade im Gambio Forum gesehen. In Gambio GX v4.9.0.2 wurde eine Sicherheitslücke gefunden. Die Beschreibung der Lücke und ein PoC findet man hier (in Englisch):

https://herolab.usd.de/security-advi...usd-2023-0046/

Laut dem Text wurde die Lücke an Gambio am 08.12.2023 gemeldet. Da bisher keine Reaktion seitens Gambio erfolgt ist wurde die Lücke jetzt veröffentlicht.

Da sie Remotecodeausführung ermöglicht, könnten Angreifer diese Schwachstelle ausnutzen, um beliebige Befehle auszuführen, was zu einer vollständigen Kompromittierung des Systems, zur Datenexfiltration oder zum unbefugten Zugriff auf sensible Informationen führen könnte.
Ich verstehe das so:
Die Lücke betrifft das Frontend. Dort ist es durch die Funktion zur Suche nach einem DHL Paketshop/Packstation möglich Code auszuführen.
Man kann remote Gastkonten anlegen und dann mit dem Konto über den Suchparameter in der Suche nach einem Paketshop/Packstation Code einschleusen.

Als temporäre Lösung kann man in der Datei "/GXMainComponents/Controllers/HttpView/Shop/ParcelshopfinderController.inc.php" ein "die('meldung');" oder "exit;" in der Methode "actionAddAddressBookEntry" einbauen:

PHP-Code:
public function actionAddAddressBookEntry()
    {
        die('meldung');
        if (empty($_SESSION['customer_id'])) {
            return MainFactory::create('RedirectHttpControllerResponse', xtc_href_link(FILENAME_DEFAULT, '', 'SSL'));
        } 
Das führt dann beim Aufruf im Kundenkonto entweder zu der 'meldung' oder einer weißen Seite ( exit; ).

In v4.8.0.2 ist die Methode identisch...