Bestellungen sind einsehbar für Public

[pctech]

Gerade eben aus Zufall entdeckt:
Die Bestellungen sind auch für andere und nicht eingeloggte Erreichbar:
http://xxxxxxx.xx/status.php?uid=25d9c0a1bd4c2a1ef95a4f3e78ca33aab899bda9

Es wird kein Vergleich zum gültigen und auch eingeloggten Benutzer gemacht.

Sollte wohl schnellstmöglich behoben werden....

 

[Thomas Lisson]

AW: Bestellungen sind einsehbar für Public

hi,

das ist so gewollt. Auch nicht reg. Benutzer können so den Bestellstatus einsehen.

Die uid ist einzigartig für die jeweilige Bestellung generiert und wird nur dem entsprchenden Kunden mitgeteilt.

Ein Erraten einer uid ist nicht möglich.

 

[pctech]

AW: Bestellungen sind einsehbar für Public

hi,

das ist so gewollt. Auch nicht reg. Benutzer können so den Bestellstatus einsehen.

Die uid ist einzigartig für die jeweilige Bestellung generiert und wird nur dem entsprchenden Kunden mitgeteilt.

Ein Erraten einer uid ist nicht möglich.

Hallo
Ja auch nicht mit einem Crawler (Irgendeiner Suchmaschine) welche nach uid von 0% bis %z sucht?

 

[Thomas Lisson]

AW: Bestellungen sind einsehbar für Public

Nein, keine Sorge

 

[pctech]

AW: Bestellungen sind einsehbar für Public

Nein, keine Sorge

Salü Thomas, Deine Antwort in Ehren.

Also nochmals: Teilweise werden Kundendaten verschlüsselt, die Bestellungen können jedoch ohne Login des BETREFFENDEN Benutzers von jedem (Inklusive Crawler) geöffnet / gefunden werden!
Wo ist da der Sinn dahinter? Warum nicht erst nach dem Login und nur für den betreffenden Benutzer?
Dies ist momentan eine unnötige Sicherheitslücke, zumal die ganze Bestellung eingesehen werden kann!
Und zwar inklusive der Mail Adresse (Teil des Logins)!

Kann man dieses Verhalten irgendwo in den Einstellungen des Shops auswählen?

 

[MichaelH]

AW: Bestellungen sind einsehbar für Public

Die uid ist einzigartig für die jeweilige Bestellung generiert und wird nur dem entsprchenden Kunden mitgeteilt.

Wie wird diese uid dem Kunden mitgeteilt ? Die Funktion kannte ich noch gar nicht, finde sie sinnvoll, sofern sie der nicht registrierte Kunde auch ohne viel Aufwand nutzen kann ...

 

[memo Software]

AW: Bestellungen sind einsehbar für Public

Würde mich auch interessieren.

 

[chef1568]

AW: Bestellungen sind einsehbar für Public

Ja...wäre interessant...
evtl ein zukünftiges Feature?