Session ID Problem / Sicherheitsproblem

[Trucker05]

Hallo,

ich kopiere die Fehlerbeschreibung mal aus einem anderen Forum, da diese genau auf mich zutrifft.
Versuche gerade eine Lösung zu finden und frage mich ob das modified eCommerce Shopsoftware diesen Fehler kennt und schon behoben hat? Würde gerne updaten aber nur wenn der Fehler behoben ist?

In einem anderen Forum ist ein User wohl zu einer Lösung gekommen! Dieses Shopsystem ist für mich aber auf keinen Fall eine Lösung!

Hier mal der Fehler, der bei mir auftritt:

Was passiert? Der Fehler tritt nur sporadisch auf, aber wir haben bemerkt, je mehr Benutzer auf der Seite "online" sind, desto häufiger tritt der Fehler auf, dass ein Kunde (zufällig) eine Session-ID eines vorherigen Kunden zugeteilt bekommt.
Solange das nur reine Besucher der Seite sind, passiert gar nichts. Wenn sich aber ein Kunde anmeldet und etwas bestellt und dann der nächste Besucher fälschlicherweise dessen Session-ID zugeteilt bekommt, bestellt der neue Kunde dann mit der Adresse des bisherigen. Der neue Kunde kann auch nicht seine Tel. oder e-mail Adresse eingeben, sondern nur die Versandadresse.

Das sieht dann so aus: Kunde Müller war ursprünglicher Kunde. Kunder Huber hat den Fehler durch die falsche Session-ID erhalten. Wenn der Fehler auftritt habe ich eine Bestellung mit Rechnungsanschrift: Müller, Versandanschrift: Huber. Blöderweise bekommt dann Müller eine automatische Bestätigungs- e-mail mit der Bestellung von Huber.

Wenn einer von unserer Firma im Admin-Bereich eingeloggt ist und zufällig dessen Session-ID fälschlicherweise an den nächsten Besucher weitergegeben wird, dann kann dieser nächste Besucher sogar in unseren ADMIN-Bereich.

Quelle: XTC Sessionproblem

Hab mich auch schon gefragt, ob es mit direkt URL zusammenhängt?



Linkback: https://www.modified-shop.org/forum/index.php?topic=8223.0

[Tomcraft]

Thema existiert bereits, hier geht es weiter: Frage zum Session Bug in xt:Commerce



Grüße

Torsten