Ayoub Fathi, ein Sicherheitsforscher hat einen gefährlichen Shopify API Verwundbarkeit entdeckt, die Kriminellen eine Menge von sensiblen Informationen von Online-Shops kapern erlaubt. Das Problem wird in der API von dem System verwendet liegen, die Daten für die Graph-Präsentationen ausgelegt ist zur Verarbeitung. Doch bei näherer Analyse scheint es, dass es Informationen austreten kann.
Shopify API Vulnerability Leaks Daten
Die Shopify API, die von vielen Online-Händlern in der Welt verwendet wird, ist eine gefährliche Schwachstelle enthält gefunden. Das Problem liegt nicht innerhalb des Hauptmoduls, sondern durch den Abschnitt, der verantwortlich ist für die Grafik-Präsentationen. Die Entdeckung wurde von Sicherheitsforscher Ayoub Fathi angekündigt, die darüber geschrieben in sein Blog bei Medium gehostet. Was ist mit diesem speziellen Fehler gefährlich ist, dass es gefunden wurde Umsatzdaten in zwei Fällen auslaufen so weit. Einer von ihnen ist seit dem von der Plattform entfernt worden.
Um zu zeigen, wie das funktioniert er eine neue Filiale eingerichtet, um zu prüfen, ob der API-Endpunkt angegriffen werden kann. Er testete dann ein Skript Bewertung von Live-Shops aus, die gezeigt hat, dass 4 von 1000 Geschäfte waren undicht gefunden. Dieses Experiment wurde dann wiederholt unter Verwendung einer größeren Liste, die viele Geschäfte bestätigt, dass betroffen sind. Die Ergebnisse dieser zweiten Runde zeigen, dass die 800,000 speichert mehr als 12,100 wurden ausgesetzt. Die Ergebnisse wurden in einer schnellen Art und Weise an die Firma berichtet und die Verwundbarkeit wurde rechtzeitig gepatcht können jedoch bereits durchgesickert Daten nicht rückgängig gemacht wurden.
Der Dienst hat keinen Bug Bounty Zahlung an den Forscher vergeben, als er Informationen von Web-Anbietern zugegriffen hat und nicht die Anfälligkeit für Shopify berichtet. In diesem Moment gibt es keine Informationen über erfolgreichen Hacking versucht, was bedeutet, dass sowohl die Forscher und das Unternehmen waren schnell das Problem zu mildern.
Martin Beltov
Martin hat einen Abschluss in Publishing von der Universität Sofia. er schreibt gerne über die neuesten Bedrohungen und Mechanismen des Eindringens Als Cyber-Security-Enthusiasten.
Folge mir: