Achtung, JTL-Shop Nutzer: JTL Software hat Sicherheitsupdates für JTL-Shop 5.6 und 5.7 veröffentlicht. Es gibt zwei Cross-Site-Scripting-Schwachstellen (XSS) im Admin-Bereich des Shops. Wenn Sie einen JTL-Shop betreiben, dann lesen Sie diesen Hinweis bitte aufmerksam durch.
JTL-Shop Sicherheitsupdate
Nach Angaben von JTL können aufgrund einer unzureichenden Maskierung bestimmter Eingaben speziell präparierte Inhalte unter bestimmten Umständen im Browser eines angemeldeten Administrators als JavaScript ausgeführt werden. Dadurch könnten Angreifer Aktionen im Kontext dieser Admin-Sitzung ausführen oder auf Informationen zugreifen, die innerhalb der Sitzung verfügbar sind.
Kurzversion ohne Techniksprech: Es gibt 2 Sicherheitslücken, die zu ihren Ungunsten ausgenutzt werden können. Aus diesem Grund wurde ein Sicherheitsupdate für den JTL-Shop veröffentlicht.
Betroffen sind laut JTL die Shop-Versionen 5.0.0 bis 5.6.2 sowie 5.7.0 bis 5.7.2. Die Sicherheitslücken wurden in JTL-Shop 5.6.3, 5.7.3 und 5.8.0 behoben. Für Versionen vor 5.6.0, die laut JTL ihr End of Life erreicht haben, ist ein Wechsel auf eine unterstützte Version erforderlich (und wird darüber hinaus von ESTUGO auch dringlichst empfohlen!).
Bislang keine Hinweise auf aktive Ausnutzung
JTL Software liegen derzeit keine Hinweise auf eine aktive Ausnutzung der Schwachstellen vor. Dennoch sollten Shopbetreiber das Update zeitnah einplanen und zügig umsetzen. Wer kurzfristig patchen möchte, kann laut JTL auf die Wartungsreleases 5.6.3 oder 5.7.3 aktualisieren. Das Update auf 5.8.0 enthält den Fix ebenfalls, ist jedoch ein Feature-Release und sollte entsprechend getestet werden.
Unsere Empfehlung: Prüfen Sie zeitnah Ihre eingesetzte JTL-Shop-Version, spielen Sie ein passendes Sicherheitsupdate ein und testen Sie die Aktualisierung vor dem Livegang (z.B. mit einem Shop Klon oder in einer Testumgebung). Bitte denken Sie außerdem daran vorher eine Datensicherung zu machen.
Quelle und offizielle Patch-Informationen: JTL-Sicherheitsupdate für Shop 5.6 & 5.7
