Gisteren heeft een klant van Carclean.com, tevens 'ethisch hacker', ontdekt dat het mogelijk was om, vanuit de beveiligde klantomgeving, order-PDF's van anderen te kunnen downloaden door het ordernummer in een url aan te passen.
Deze klant heeft het lek direct bij ons gemeld en wij hebben het lek ook direct gedicht. Het lek bevond zich in een Magento-module om van facturen en orders een nette PDF te maken. De Duitse modulemaker, SNM portal, is ook op de hoogte gesteld en heeft een update voor de module uitgebracht.
Door een PDF van iemand anders te kunnen downloaden was er potentieel toegang tot:
Naam, adres, woonplaats, orderdatum, ordernummer, bestelde producten, betaalmethode en totaalbedrag.
Er was geen toegang tot gevoelige accountinformatie zoals login, password, rekeningnummers enzovoorts.
Het lek was alleen toegankelijk voor geregistreerde én ingelogde Carclean.com klanten die eerder een bestelling hebben geplaatst én het ordernummer doelbewust in de link van een bestaande order , met de hand, aan gingen passen.
Het lek is gemeld bij de Autoriteit Persoonsgegevens. Er zijn geen aanwijzingen dat het lek actief is gebruikt.
Vragen? Mail of bel ons!
Deze klant heeft het lek direct bij ons gemeld en wij hebben het lek ook direct gedicht. Het lek bevond zich in een Magento-module om van facturen en orders een nette PDF te maken. De Duitse modulemaker, SNM portal, is ook op de hoogte gesteld en heeft een update voor de module uitgebracht.
Door een PDF van iemand anders te kunnen downloaden was er potentieel toegang tot:
Naam, adres, woonplaats, orderdatum, ordernummer, bestelde producten, betaalmethode en totaalbedrag.
Er was geen toegang tot gevoelige accountinformatie zoals login, password, rekeningnummers enzovoorts.
Het lek was alleen toegankelijk voor geregistreerde én ingelogde Carclean.com klanten die eerder een bestelling hebben geplaatst én het ordernummer doelbewust in de link van een bestaande order , met de hand, aan gingen passen.
Het lek is gemeld bij de Autoriteit Persoonsgegevens. Er zijn geen aanwijzingen dat het lek actief is gebruikt.
Vragen? Mail of bel ons!