J2Commerce Plugin Update rollback auf vulnerable Version

Jurahausverein e.V.

Hallo Zusammen,
seit ein paar Wochen wird trotz aktuellster Updates der J2Commerce-Erweiterung auf zunächst Version 4.1.7 und mittlerweile 4.1.10 angezeigt, dass diese Erweiterung verwundbar ist. Bei Auto-Update von 4.1.7 auf 4.1.10 hat HTProtect sogar einen Rollback auf die als vulnerabel gemeldete Version 4.0.5 gemacht.

Wie kann diese Fehlermeldung beseitigt werden, so dass die automatischen Updates für diese Erweiterung wieder vollständig funktionieren? Im Dashboard wird noch Version 4.0.5 als installiert angezeigt, im Plugin selbst jedoch die zuletzt aktualsierte (siehe Screenshot).

Danke für die Hilfe und für diese ansonsten extrem hilfreiche Erweiterung HTProtect!

Viele Grüße
Agnes

Pascal

Hallo Agnes,

danke für die genaue Beschreibung. HTProtect liest die installierte Version aus dem
Manifest der Komponente, und dort steht bei dir offenbar 4.0.5. Daher die Warnung, die
falsche Anzeige im Dashboard - und der Rückbau, denn HTProtect wertete ein
Auto-Update ohne gestiegene Versionsnummer als Fehlschlag. Das wird ab 2.7.17 anders
gehandhabt.

Zwei Bitten, in dieser Reihenfolge:

1) Bevor du etwas änderst, schau bitte kurz in diese beiden Dateien - eine
Neuinstallation überschreibt sie, dann ist die Spur weg:
administrator/components/com_j2store/j2store.xml -> Zeile <version>
administrator/components/com_j2store/version.php -> Zeile J2STORE_VERSION
(J2Store pflegt zwei Versionsangaben nebeneinander: sein eigenes Dashboard
zeigt die zweite, Joomla und HTProtect lesen die erste.)

2) Danach J2Store (die aktuelle 4.1.10) einmal von Hand über die bestehende
Installation drüber installieren - damit wird die Registrierung neu geschrieben.

Berichte gern, wie es sich beim nächsten J2Store-Update verhält (sofern denn noch weitere Lücken auftauchen).

Alternativ könntest du J2Store in der Liste der Extension-Auto-Updates auch auf "Nie" setzen. Das wäre bei mission-critical Shop-Extensions womöglich grundsätzlich empfehlenswert, damit man vor und nach einem Update vernünftige Tests durchführen kann.

J2Store ist nun auch Bestandteil meiner Testseiten - ich simuliere gleich mal ein
Auto-Update, um sicherzustellen, dass spätestens mit der nächsten HTProtect-Version beim Auto-(Sicherheits-)Update
alles glatt läuft.

Viele Grüße

Pascal

Kurzer Nachtrag: Ich habe das Update 4.1.7 -> 4.1.10 inzwischen auf meiner Testseite per Auto-Update durchgespielt. Es lief sauber durch - auch die mitgelieferten Plugins wurden korrekt mitgezogen, und die Versionsnummer stand danach überall richtig auf 4.1.10. Nach deiner manuellen Installation sollte also wieder alles zusammenpassen.

Jurahausverein e.V.

Hallo Pascal,
danke für die Rückmeldung. Habe wie beschrieben zunächst die beiden Dateien geprüft: Beide Versionen waren bereits vor dem "Drüberinstallieren" identisch auf 4.1.10.
Nach dem Neu Installieren (frischer Download der Install-Datei vom Hersteller) hat sich dort nichts geändert, die Dateien wurden aber definitiv neu geschrieben, zumindest wurde das Dateierstellungsdatum im Webspace aktualisiert.
Die Version im Dashboard von HTProtect steht allerdings nach wie vor auf 4.0.5. Um nicht wieder einen Rollback zu bekommen beim nächsten Update von J2Store habe ich das Auto-Update vorerst auf inaktiv gelassen. Ich werde berichten, wie das Verhalten bei der nächsten Version ist.

Viele Grüße
Agnes

Jurahausverein e.V.

Kurzes Update zu den Updates.
Das letzte Update von J2Commerce hat sich über das Joomla Backend fehlerfrei installieren lassen. Die Version ist nun 4.1.11. Diese wird auch in HTProtect in der Liste der Erweiterungen nun korrekt angezeigt, allerdings mit dem Tag "angreifbar":

Auf dem Dashboard ist immer noch die 4.0.5 angezeigt.

Eine entsprechende Mail mit der Benachrichtigung über den Sicherheitshinweis habe ich ebenfalls bekommen:

Ich habe nun das Auto-Update in HTProtect wieder aktiviert für das Plugin und werde berichten.

Viele Grüße
Agnes