security - Magento-ユーザーは他の人のデータを見ることができます

Question

Magentoストアがあり、ユーザーがログインすると、他のユーザーのユーザー情報で認証される場合があります。

ユーザーが私のアカウントにアクセスすると、別の顧客の注文の詳細を確認できます。

セッション検証設定でHTTP_USER_AGENTの検証とREMOTE_ADDRの値の検証をアクティブ化するというフォーラムを見つけましたが、まだ問題が発生しています。

誰かがこの問題を引き起こしている可能性があるものについて何か考えを持っていますか？

よろしくお願いします。

ジョージ

Answer 1

これを適切にデバッグするのに時間をかけたことはありませんが、少し前にほぼ同じ問題が発生しました。System > Configuration > Web > Use SID on Frontend最終的には有効になっているように見え、キャッシュされたテンプレート内にMagento Enterprise Full Page Cache保存されることもあります。SID他のユーザーが間違った SID のリンクをクリックすると、そのセッションを乗っ取ってしまいます。

SID オプションを無効にした後、問題が再発することはありませんでした。本当の答えではないかもしれませんが、あなたにとって価値のある情報かもしれません。