0day攻撃コード公開、Zen Cart（v1.3.9h以下）にXSS、任意のファイルアップロードなど脆弱性

security

Zen Cartに0dayの脆弱性があり攻撃コードが公開されています。パッチはまだ出ていない様子。ver1.3.9h以下に影響があるようですが、最新版はver1.3.9hとなっていますね。

以下の脆弱性の攻撃コードが公開されています。（実効性は未確認です）

  • XSS（反射型、格納型の2件）
  • 任意のファイルをアップロード
  • 設置したフルパスが見える

パッチが公開されるまではZen Cartを停止するか、該当箇所を修正するパッチを自分で書くのがよいでしょう。
公式なパッチが公開されたらすぐに適用しましょう。