在流行的开源电子商务平台 Magento Community Edition 中发现了一个严重漏洞。据 DefenseCode 公司的专家称，该漏洞允许远程执行任意代码并完全破坏系统。
攻击者可访问包含信用卡号等支付信息的数据库。问题源于管理员在产品描述中添加 Vimeo 视频预览的功能：若上传文件非图像，系统虽提示格式错误，却不会删除该文件。
为执行任意代码，攻击者需上传可运行 PHP 的 .htaccess 配置文件及恶意 PHP 脚本。此漏洞无法直接利用，前提是攻击者在目标网站拥有账户。
该漏洞影响 Magento Community Edition 2.1.6 及更低版本。专家于去年 11 月向开发者报告，但至今未修复。鉴于商业版 Magento Enterprise 基于相同源代码，专家认为其同样面临威胁。
去年，植入拦截支付信息恶意 JS 代码的网站数量增长了 69%，而利用 Magento 引擎“漏洞”传播恶意软件正是主要途径之一。