JTL-Wawi 2.0.6.0 sendet fehlerhafte multipart/form-data-Requests – ModSecurity blockt Datenabgleich mit 403 (scheinbar hosterabhängig)

[cnc]

Kurzes Abschluss-Update: Domain Factory hat die ModSecurity-Regel angepasst und ausgerollt. Der Datenabgleich zwischen JTL-Shop und JTL-Wawi über /dbeS/ läuft bei uns seit eben wieder problemlos.

Zusammenfassung der Ursache für alle, die später über den Thread stolpern: Kein Wawi-Bug, sondern eine zu strikte ModSecurity-Regel (MULTIPART_STRICT_ERROR, Flag BQ), die eine laut RFC 2046 zulässige, gequotete Multipart-Boundary (boundary="...") fälschlich blockiert hat. Betroffen waren also potenziell alle Nutzer mit ähnlich konfigurierter WAF beim Hoster.

Danke nochmal an @NoOne und @mvh für die Unterstützung bei der Eingrenzung

 

[Frank von Mina-Aachen.de]

Hallo zusammen,

wir haben mit unserem JTL-Shop 5.4.0 und der JTL-Wawi 1.9.5.3 auf einem STRATO Hosting Basic-Paket ein vergleichbares Problem.

Sowohl der manuelle Shopabgleich als auch der automatische Abgleich über JTL-Worker 2.0 scheitern bereits bei der Initialisierung mit HTTP 400 (BadRequest).

STRATO hat schriftlich bestätigt, dass die POST-Anfragen an /dbeS/mytest.php durch die ModSecurity-Regel 200003 (MULTIPART_STRICT_ERROR) blockiert werden.

Eine Untersuchung der einzelnen Prüfwerte oder eine Anpassung dieser Regel lehnt STRATO ausdrücklich ab.

Da hier bereits ein ähnlicher Fall erfolgreich untersucht wurde, würde ich gerne wissen:

1. Gibt es inzwischen eine Lösung aufseiten von JTL-Wawi, beispielsweise eine angepasste HTTP-Anfrage oder einen Hotfix?
2. Ist der Fehler in neueren Wawi-Versionen weiterhin vorhanden?
3. Gibt es eine Möglichkeit, den Abgleich wiederherzustellen, ohne den Hostinganbieter wechseln zu müssen?

Der vollständige Ausfall des Shopabgleichs verhindert derzeit einen zuverlässigen Shopbetrieb.

Da wir die Community Free Edition nutzen, können wir leider kein reguläres Supportticket eröffnen.

Über eine technische Stellungnahme, insbesondere auch von JTL selbst, würden wir uns freuen.

Vielen Dank!

 

[John]

Ich fürchte, es wird keinen Fix von JTL geben, weil kein Fehler bei Ihnen vorliegt.
Geh weg von Strato. Taugt sowieso nicht für JTL Shops...