g2commerce

Preislich würde ich das bei unserem Updateservice einordnen: https://shop.g2commerce.de/update-service/

Für die Version 26.03.0 werde ich voraussichtlich heute mal testen ob es funktioniert. Für die 5.0.2.0 müsste dann nochmal zusätzlich geprüft werden ob die Änderungen so übernommen werden können. Wo das dann preislich liegt müsste man individuell absprechen.

Ich empfehle allen Shopbetreibern, die noch nicht auf Gambio-Versionsreihe GX 26.04 updaten können, das Gambio Sicherheitspatch von g2commerce.

Offenbar wurden um die 50 Sicherheitslücken mit dem normalen GX 26.04 Servicepack stillschweigend gefixt. Darunter sind auch einige sehr schwerwiegende.
Es dürfte recht leicht sein, diese Sicherheitslücken anhand von Dateivergleichen herauszufinden. Das bedeutet faktisch, dass jeder Gambio Shop unterhalb von GX 26.04.x als kompromittierbar angesehen werden muss.

Skandalös, dass Gambio dafür kein separates Sicherheitupdate rausbringt oder zumindest sehr deutliche Warnungen für Gambio-Shopbetreiber findet...

Wenn ich das richtig verstanden habe, sollte man als Selfhoster die 26.04.1 installiert haben um die neue DHL-API nutzen zu können. https://www.gambio.de/forum/threads/dhl ... ost-440431
Deshalb muss ich wohl auch in den sauren Apfel beißen. Damit wäre der Shop dann auch wieder sicherer.

Das ist nicht richtig, ich habe das auf Shops mit einer 4.8er Version installiert und das gibt keine Probleme.

Der Versionshinweis auf die 26.04.1 gilt nur für die Installation über den Store. Alle darunter liegenden Versionen müssen das Modul aus dem Downloadbereich runterladen und per Hand installieren.

Wird von euch auch die Version 26.05 geprüft bzgl. geschlossenen Sicherheitslücken? Wäre eventuell interessant ob es auch hier so viele und schwerwiegende gibt.

Ich kam die Woche leider bisher nicht dazu, aber ja eine Prüfung ist auf jeden Fall geplant.

Jetzt ist schon wieder ein bisschen Zeit vergangen und das Thema ist ziemlich aktuell.
Sind in der 26.05 auch so viele Sicherheitslücken geschlossen worden?

Wir hatten das jetzt nochmal geschoben, weil die Version bis auf ein paar Kleinigkeiten recht gut aussah. Mit der Meldung vom Wochenende zu mehrfach gelisteten Artikeln in Kategorien sieht die Version dann aber doch nicht mehr so attraktiv aus.

Wir haben uns das gestern also doch mal angeschaut. Ein Paket mit Korrekturen zu erstellen wäre in diesem Fall allerdings eher wenig realistisch. Nach Anwendung unserer Kriterien (Keine Datenbank-Änderungen, keine komplexen Überarbeitungen) bleiben 4 Dateien übrig, die nur geringfügige Verbesserungen bringen. 3 kommen von Drittentwicklern, 1 von Gambio selbst (zusätzlich Admin bekommen automatisch Zugriff auf neu installierte Module).

Alles weitere erfordert tatsächlich einen größeren Umbau oder Änderungen in der Datenbank. Soweit wir es überblicken können liegen die größten Änderungen auch in Bereichen, die nur von Admins erreicht werden können (z.B. Bestellbearbeitung).

Also ja, es gibt Sicherheitsrelevante Änderungen, wir schätzen diese aber nicht so schwerwiegend ein wie zuletzt.