「osCommerce」-「Zencart」WATCH !

OZ-Watch! [ 2015/11/28 ] Zencart v.1.5.4 と旧バージョンへのセキュリティパッチ


■   『 osCommerce 』-『 Zencart 』WATCH !
■■  (進化し続ける最新のオープンソースECサイトの動向を探る)
■■	                          第75号  [2015年 11月 28日]

『 osCommece 』『 Zencart 』最新情報!


━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

■ Zencart v.1.5.4 と旧バージョンへのセキュリティパッチ

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

セキュリティ上の問題点についての報告と共に、Zencartで構築されたショップに
適用すべきいくつかのパッチの配布をお知らせいたします。


1、/ajax.php ( v1.5.4のみが対象)に関する問題 - 重要度:高

Zen Cart v1.5.4 で使われている /ajax.php ファイルに、ある特定の条件の元で
サーバーを悪用される脆弱性が存在しています。
パッチの適用は単純に、以下のリンクより取得できる /ajax.php ファイルを
既存のものと差し替えるだけです。
問題点を報告いただいた"High tech Bridge"に感謝いたします。

<本文にパッチへのリンクあり>


以下に、重要度は高くありませんが以前のバージョンに対してのパッチを記載いたします。
よくご利用のサイトの状態を確認し、既存のカスタマイズとマージした上で適用する
ようにしてください。


2、サニタライズされていないコメントフィールドでの XSS 問題 - 重要度:中

v1.5.4を含む Zencart の各バージョンにおいて、注文時のコメントフィールドに
XSS 問題が存在しています。
これは悪意のあるJavaScriptのコードをコメントフィールドに入力したのち、次にそれを
画面表示したタイミングで動作させることで目的とした攻撃です。
対応方法は、/includes/modules/pages/chackout_confirmation/header_php.php 
ファイルに対して、以下に記載している<本文に diff へのリンクあり>コードを
追記してください。
本件の報告に対して "Trustwave Security" に感謝します。
こちらに添付されている "checkout_confitmation" の "header_php.php" は、
v1.3.9~v1.5.4 用のものです。それより古いバージョンの場合には、上記の
diff のコードを参照して、別途個別に対応する必要があります。
<本文にパッチファイルへのリンクあり>


3、顧客ログイン失敗時に入力ボックスにパスワードが入ったままになっている - 重要度:低

誤ったパスワードでログインしようとした際に、エラーで再表示される画面において、
誤ったパスワードが入ったままになっている。
本件についての修正は /includes/functions/html_output.php ファイルに対して、次の
コード<本文に diff へのリンクあり> のように修正してください。
v1.5.4 に関しては以下の掲載しているファイルをご利用ください。もし、プラグインの追加
などでカスタマイズしているのであれば、上記 diff を参考にコードを修正してください。
本件の報告に対して "Trustwave Security" に感謝します。
<本文にパッチファイルへのリンクあり>


4、管理画面内での XSS についての懸念 - 重要度:低 ( CSRFプロテクションがあるため )
Trustwave Security より、管理画面内にあるいくつかの編集用エリアにおいて、XSSによる
悪用の危険性を指摘いただきました。パッチファイルも準備しておりますが、どれも管理画面
へのログインを管理していれば心配する必要がない部分です。既に管理者としてのログイン権限
を持っているものが意識的に悪意のあるコードを入力・実行しなければ問題とはなりえません。


<以下省略・・・>


<原文:https://www.zen-cart.com/showthread.php?218914-Security-Patches-for-v1-5-4-November-2015>



━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

★ ビッグマウスからのお知らせ『セット組み販売機能』について

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

自動車パーツ、釣具、アパレル、スポーツ用品など、複数の商品を同時に購入
した場合にお得になる「セット販売」を行われるケースも多いかと思います。
こうしたご要望にお応えして、新たに『セット組み』機能を準備いたしました。

セット組み商品の場合、「○品をまとめて○円で・・」といった「セット商品」を
通常の商品とは別に商品として掲載しますが、セットに含まれる各商品に対しても
個別に在庫管理が必要であるケースもおおくあります。

例)テニスラケット、ボール、グリップテープをセットで販売している。
  でも、、各商品は個別にも販売しており、一商品でも在庫不足になった
  場合には、セット商品も「売り切れ」にする必要あり。

こうしたニーズに合わせて、ZenCartPro、ZenCartPro-R の新規機能
『セット組み販売機能』としてリリースいたしました。

複数の商品を自由に組み合わせてコーディネートとして提案するための機能です。

その他のバージョンの Zencart に関しては当社までご相談ください。


━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

★ ビッグマウスからのお知らせ『レスポンシブWEBデザイン』について

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

「Zencart では“レスポンシブWEBデザイン”は実現できないの?」という
ご質問をいただくことがあります。

テンプレート販売サイトなどでは、Zencart向けのレスポンシブWEBデザイン
テンプレートがほとんど出回っていない様です。

一からレスポンシブなテンプレートを作成するのは、なかなか大変な作業ですが、
基本となるテンプレートがあれば、作業がずっと容易になる事でしょう。


この度、当社で配布している Zencart1.3.8a、Zencart1.3.9h 並びに ZenCartPro
シリーズの各バージョンに対応した「レスポンシブWEBデザイン基本テンプレート」
を準備いたしました。

 導入後にスタイルシートなどを調整してご希望のデザインに調整できるよう、
出来る限り Zencart の基本機能を損なわないようにシンプルなテンプレートの形で
準備しております。

※ 既に提供中の「スマートフォン用テンプレート」との共存も可能です。
 (スマートフォンでのアクセスに対して、レスポンシブデザインテンプレートを
  対応させるように設定する事もできます)

Zencart1.3.9hデモ: http://demo.zencart-pro.com/139_base_responsive/


詳しくは当社までお問い合わせください。


-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=--=-=-=-=-=-=-=-=-=-=
「osCommerce」「Zencart」本家アメリカの最新情報を日本語でお知らせ!
オープンソースのネットショップ構築システムとして話題の「OSコマース」「ZEN
カート」の最新モジュール、バージョンアップ情報をメールマガジンで速報します!

■ ご意見
oz-watch@bigmouse.jp
■ アドレス変更、配信中止
http://www.bigmouse.jp
■ 「ビッグマウス」ホームページ
http://www.bigmouse.jp

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
『 osCommerce 』-『 Zencart 』WATCH !  vol.76
 発行:有限会社ビッグマウス      Copyright 2015
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━


※ビッグマウスからのお知らせ。

 ◆ 外部のメール配信エンジンと連携する、Zencart からの「メルマガ予約配信
   機能」も準備しております。
   訴求力アップのためのメルマガ配信を遅延なく効果的に行います。
   詳しくはお問合わせください。

 ◆ スマートフォン対応ECサイト「ZenCartPro」シリーズをご体験ください。
   バージョンアップにより、スマートフォン対応もさらに高機能化
  充実した用途によりカスタマイズも自由。

「オプション別在庫管理」もCSVで楽々管理! 
楽天商品登録用CSV対応『 ZenCartPro-R 』好評提供中。

詳しくはこちらから>> http://zencart-pro.com/node/188

   ZenCartProシリーズ。 デザイン適用事例デモサイトも公開中!
  http://www.zencart-pro.com/design_sample_01/
  http://www.zencart-pro.com/design_sample_02/

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

「osCommerce」-「Zencart」WATCH !

RSSを登録する
発行周期 不定期
最新号 2016/03/18
部数 207部

このメルマガを購読する

ついでに読みたい

「osCommerce」-「Zencart」WATCH !

RSSを登録する
発行周期 不定期
最新号 2016/03/18
部数 207部

このメルマガを購読する

今週のおすすめ!メルマガ3選

オンラインカジノ情報ドットコム
カジノって楽しいですよね。ラスベガス、マカオ、韓国などのカジノへ行く前や行った後も日本でカジノを楽しみたいと思いませんか?実はそのカジノが日本でもオンラインカジノを通じて遊べるんです!そんなオンラインカジノの魅力をたくさんご紹介しちゃいますね。今話題の海外FXについても詳しく解説します。
  • メールアドレスを入力

  • 規約に同意して

サラリーマンで年収1000万円を目指せ。
高卒、派遣社員という負け組から、外資系IT企業の部長になった男の、成功法則を全て公開します。誰にでも、どんな状況、状態からでも自分の力で人生を変えるための情報と知性を発信しています。人生を意のままにするには、脳みそとこころの両方が進化しなければなりません。そんな進化とは何か?をお届けする四コママンガ付きメルマガです。2014年から3年連続でまぐまぐ大賞部門賞を受賞しました 学歴やバックグラウンドに拘わらず、人生を思いのままに生きるために必要な考え方が書かれた、「良書リスト」も希望者に差し上げています。
  • メールアドレスを入力

  • 規約に同意して

ダメおやじの全財産をかけた崖っぷちFX通信
【1日に数万人が熟読する人気FXブログのメルマガ版】 相場歴30年以上のダメおやじがFXノウハウを大公開! 毎朝配信!毎日の経済指標情報や攻略法を無料で解説しています。 ●損切りがうまくできない、利食いが浅い ●ポジポジ病(ポジションを不要に持ってしまう) ●コツコツドカーン(小さく勝っても大きく負ける) ●エントリータイミングわからない ●メンタル面が弱い このようなお悩みがあれば購読してみてください。 FX初心者から経験者まで、FXの悩みをこのメルマガで解消します。 期間限定でメルマガ内で数万円相当分のFX情報商材をプレゼント中!
  • メールアドレスを入力

  • 規約に同意して

今週のおすすめ!メルマガ3選

川島和正の日刊インターネットビジネスニュース
■読者数32万部超、日本一の個人メルマガ(まぐまぐ総合ランキング調べ) ■9年連続で年収1億円以上になり、70か国以上を旅行して、 190平方メートルの豪邸に住んで、スーパーカーに乗れるようになり、 さらに、著書は、日本を代表する超有名人2人に帯を書いてもらい、 累計50万部のベストセラーとなった、現在香港在住の川島和正が、 最新のビジネスノウハウ、自己啓発ノウハウ、健康ノウハウ、恋愛ノウハウ さらに「今チェックしておくべき情報リスト」などを配信中!
  • メールアドレスを入力

  • 規約に同意して

ダメおやじの全財産をかけた崖っぷちFX通信
【1日に数万人が熟読する人気FXブログのメルマガ版】 相場歴30年以上のダメおやじがFXノウハウを大公開! 毎朝配信!毎日の経済指標情報や攻略法を無料で解説しています。 ●損切りがうまくできない、利食いが浅い ●ポジポジ病(ポジションを不要に持ってしまう) ●コツコツドカーン(小さく勝っても大きく負ける) ●エントリータイミングわからない ●メンタル面が弱い このようなお悩みがあれば購読してみてください。 FX初心者から経験者まで、FXの悩みをこのメルマガで解消します。 期間限定でメルマガ内で数万円相当分のFX情報商材をプレゼント中!
  • メールアドレスを入力

  • 規約に同意して

僕は『絶対倒産する』と言われたOWNDAYSの社長になった。
売上20億,負債14億,赤字2億『絶対倒産する』と言われ、メガネ業界内ではただの質の悪い安売りチェーンと馬鹿にされ続けていたOWNDAYS(オンデーズ)を30歳の時に買収し社長に就任。その後、10年間で奇跡のV字回復を遂げて、売上150億,世界10カ国に進出するまで・・、みたいな巷によくある再生物語。半分ノンフィクション。半分はフィクション。いつまで、どこまで書き続けるかはまだ未定です。 https://www.owndays.com Twitter:https://twitter.com/shuji7771 blog:https://ameblo.jp/shuji7777/
  • メールアドレスを入力

  • 規約に同意して

他のメルマガを読む

ウィークリーランキング