Kritische Sicherheitslücke beim eCommerce-Modul

Drupal Security berichtet von einer kritischen Schwachstelle im authorize.net-Modul des eCommerce-Pakets.

Das Modul speichert Kreditkartennummern bei vorgenommen Transaktionen in einer Protokolldatei. Die Speicherung dieser Informationen ist nicht notwendig und sollte deshalb nicht erfolgen.

Betroffen sind alle Versionen, deren CVS-Id älter als die folgenden sind:

4.5 branch:

// $Id: authorize_net.module,v 1.1.2.4 2005/03/03 01:15:38 mathias Exp $

4.6 branch:

// $Id: authorize_net.module,v 1.10 2005/04/28 05:07:08 mathias Exp $

HEAD branch:

// $Id: authorize_net.module,v 1.18 2005/10/24 19:33:13 mathias Exp $

Anwendern des eCommerce-Pakets wird empfohlen, die aktuelle Version des authorize.net-Moduls zu beziehen oder das Modul zu deaktivieren, wenn es nicht benötigt wird. Wer die Version 4.6 einsetzt, muss zusätzlich das Skript für ein Datenbankupdate des eCommerce-Pakets ausführen. 

Das Drupal-Kernsystem ist nicht betroffen.

Downloads:

• 4.5 branch
• 4.6 branch
• HEAD branch