Fórum OpenCart Brasil

[Paulinho Cé]

Bom dia !

Hoje nos deparamos com um erro internal 500 na loja opencart versão 2.2.0.0 e embora tenhamos tido todas as precauções recomendadas pelo fórum, o relatório é desanimador:

Os módulos utilizados são na sua maioria compatíveis com a versão atual e não creio que existam outros para as novas versões comoPagseguro, Correios etc.

Na tela do admin o erro refere-se a: Identificamos nos logs de erro do servidor que o POPUP utilizado pelo OpenCarter encontra-se excedendo o limite de processos junto ao servidor web
Estou com um grande problema nas mãos, o que os amigos recomendam?

Muito obrigado pelas sugestões.

Código: Selecionar todos

CVSS Scores Greater Than: 0   1   2   3   4   5   6   7   8   9  
Sort Results By : CVE Number Descending   CVE Number Ascending   CVSS Score Descending   Number Of Exploits Descending
Copy Results Download Results
#	CVE ID	CWE ID	# of Exploits	Vulnerability Type(s)	Publish Date	Update Date	Score	Gained Access Level	Access	Complexity	Authentication	Conf.	Integ.	Avail.
1	CVE-2018-13067	352		CSRF	2018-07-02	2018-09-04	6.8	None	Remote	Medium	Not required	Partial	Partial	Partial
/upload/catalog/controller/account/password.php in OpenCart through 3.0.2.0 has CSRF via the index.php?route=account/password URI to change a user's password.
2	CVE-2018-11495	22		Dir. Trav.	2018-05-26	2018-06-29	4.0	None	Remote	Low	Single system	Partial	None	None
OpenCart through 3.0.2.0 allows directory traversal in the editDownload function in admin\model\catalog\download.php via admin/index.php?route=catalog/download/edit, related to the download_id. For example, an attacker can download ../../config.php.
3	CVE-2018-11494	434		Exec Code Dir. Trav.	2018-05-26	2018-06-29	6.0	None	Remote	Medium	Single system	Partial	Partial	Partial
The "program extension upload" feature in OpenCart through 3.0.2.0 has a six-step process (upload, install, unzip, move, xml, remove) that allows attackers to execute arbitrary code if the remove step is skipped, because the attacker can discover a secret temporary directory name (containing 10 random digits) via a directory traversal attack involving language_info['code'].
4	CVE-2016-10509	89		Exec Code Sql	2017-08-31	2017-09-06	6.5	None	Remote	Low	Single system	Partial	Partial	Partial
SQL injection vulnerability in the updateAmazonOrderTracking function in upload/admin/model/openbay/amazon.php in OpenCart before version 2.3.0.0 allows remote authenticated administrators to execute arbitrary SQL commands via a carrier (aka courier_id) parameter to openbay.php.
5	CVE-2015-4671	79		XSS	2016-01-12	2016-12-07	4.3	None	Remote	Medium	Not required	None	Partial	None
Cross-site scripting (XSS) vulnerability in OpenCart before 2.1.0.2 allows remote attackers to inject arbitrary web script or HTML via the zone_id parameter to index.php.
6	CVE-2014-3990	611		Exec Code	2018-03-20	2019-04-25	7.5	None	Remote	Low	Not required	Partial	Partial	Partial
The Cart::getProducts method in system/library/cart.php in OpenCart 1.5.6.4 and earlier allows remote attackers to conduct server-side request forgery (SSRF) attacks or possibly conduct XML External Entity (XXE) attacks and execute arbitrary code via a crafted serialized PHP object, related to the quantity parameter in an update request.
7	CVE-2011-3763	200		+Info	2011-09-23	2017-08-28	5.0	None	Remote	Low	Not required	Partial	None	None
OpenCart 1.4.9.3 allows remote attackers to obtain sensitive information via a direct request to a .php file, which reveals the installation path in an error message, as demonstrated by system/startup.php and certain other files.
8	CVE-2010-1610	352		CSRF	2010-04-29	2018-10-10	6.8	User	Remote	Medium	Not required	Partial	Partial	Partial
Cross-site request forgery (CSRF) vulnerability in index.php in OpenCart 1.4 allows remote attackers to hijack the authentication of an application administrator for requests that create an administrative account via a POST request with the route parameter set to "user/user/insert." NOTE: some of these details are obtained from third party information.
9	CVE-2010-0956	89	1	Exec Code Sql	2010-03-10	2010-06-23	7.5	None	Remote	Low	Not required	Partial	Partial	Partial
SQL injection vulnerability in index.php in OpenCart 1.3.2 allows remote attackers to execute arbitrary SQL commands via the page parameter.
10	CVE-2009-1621	22		Dir. Trav.	2009-05-12	2018-10-10	5.0	None	Remote	Low	Not required	Partial	None	None
Directory traversal vulnerability in index.php in OpenCart 1.1.8 allows remote attackers to read arbitrary files via a .. (dot dot) in the route parameter.
11	CVE-2009-1027	89		Exec Code Sql	2009-03-19	2018-10-10	7.5	User	Remote	Low	Not required	Partial	Partial	Partial
SQL injection vulnerability in OpenCart 1.1.8 allows remote attackers to execute arbitrary SQL commands via the order parameter.
Total number of vulnerabilities : 11   Page : 1 (This Page)

[veteranodf]

Erro 500 não se trata que sua loja foi invadida ou tem vulnerabilidade , esse é um código de erro genérico, significa que pode ser casusado por vários fatores, para saber exatamente o que esta causando você deve localizar um arquivo chamado "error_log", geralmente esse arquivo é gravado no diretório onde a loja esta instalada, isso pode mudar caso sua hospedagem tiver outro lugar para gravar o log, o ideal é procurar esse arquivo e ver as ultimas linhas gravadas, caso não encontrar contate sua hospedagem;

Complementando, o erro 500 pode ser causado por edição incorreta do arquivo .htaccess, edição do arquivo config.php, edição incorreta de algum script php, upgrade no servidor, a maioria das hospedagem com servidor compartilhado faz upgrade e não comunica o cliente, sendo assim caso você tiver um script que não é compatível com a versão do php atual pode gerar o erro 500, a melhor opção para checar realmente é a dica do arquivo "error_log"

[Paulinho Cé]

Muito obrigado Ariel,

Verificando com mais calma o log de vulnerabilidades, percebi tratar-se de um genérico referindo-se a versões diversas do Opencart. Creio não haver tanto perigo assim. Recentemente meu host atualizou a versão do Apache e isso pode ser a causa do erro, mas o suporte deles culpa o excesso de limite de processos no servidor como a causa do erro. Confesso não saber onde alterar para aumentar o limite, constatei que não existe um arquivo php.ini no diretório do Opencart, talvez deva ser alerado no cpanel?

Muito obrigado mesmo, a sua atenção é muito importante e não posso atualizar a versão, seria desastroso nesse momento.

Abraço
Paulo

[Paulinho Cé]

Existe a possibilidade de atualizar a versão 2.2.0.0 para a versão 3 do Opencart?

[Felipe Mangini]

existe a possibilidade sim, porem precisaria primeiro atualizar sua versão para a 2.3.0.2 e apos isso comecar a atualização para a versão 3. do opencart, as tabelas do BD será a parte mais complicada, aconselho contratar uma empresa que faria isso pra você, eles migrariam tudo para você sem dor de cabeça.
pense na possibilidade.
https://litextension.com/?utm_source=4r ... -click2web

[veteranodf]

Muito obrigado Ariel,

Verificando com mais calma o log de vulnerabilidades, percebi tratar-se de um genérico referindo-se a versões diversas do Opencart. Creio não haver tanto perigo assim. Recentemente meu host atualizou a versão do Apache e isso pode ser a causa do erro, mas o suporte deles culpa o excesso de limite de processos no servidor como a causa do erro. Confesso não saber onde alterar para aumentar o limite, constatei que não existe um arquivo php.ini no diretório do Opencart, talvez deva ser alerado no cpanel?

Muito obrigado mesmo, a sua atenção é muito importante e não posso atualizar a versão, seria desastroso nesse momento.

Abraço
Paulo

A hospedagem nunca da o braço a torcer, sempre irá colocar a culpa no site, falando que a versão é antiga, que tem brechas, que existe versões atualizadas, etc, etc, mais eles esquecem que o servidor tem métodos de barrar tentativas de ataque mesmo existindo brechas na aplicação utilizada, uma maneira simples é ter o "mod_security" instalado e atualizado no apache, outros métodos é ter uma lista negra para países que tem grande número de ataques como China, Rússia, etc

Sobre a questão do upgrade você pode utilizar a dica do @Felipe Mangini ou começar uma loja nova sem nada, assim configurando oque necessita e depois importar somente o necessário "clientes, pedidos, produtos, categorias" etc, a minha dica é fazer essa segunda opção pois você terá uma loja limpa!

[Paulinho Cé]

Boa tarde,

Meu host recomendou o uso do Cloud Flare, já fiz o cadastro e algumas configs, inclusive a troca dos DNS`s mas o registro.br demora 24 horas para publicar, estou aguardando o que vai dar. Minha hospedagem é compartilhada e alegam que:
Relacionado ao uso de recursos, da conta em questão, seria necessário que você realizasse uma análise na conta, desativando os módulos mais pesados, e ajustasse o tema para que o mesmo pudesse ficar mais clean. Todo uso de recursos você pode acompanhar pelo cpanel da conta, em "Uso de Recursos"
Será necessário que você ajuste o uso do cloudflare para o domínio em questão...

Não encontrei nada no cpanel, estou recebendo a mesma mensagem de erro 500..
Estou preocupado.

Abraços, Paulo

[veteranodf]

Não é querendo te desanimar mais cloud flare não resolverá seu problema a não ser que esse erro 500 seja causo por ataques de força bruta ou ddos; Como você mencionou dessa atualização do apache talvez resolva o problema apenas selecionando outra versão do php no cpanel caso o cpanel tiver essa opção;

[Paulinho Cé]

Bom dia,

Realmente o CloudFlare é um suposto filtro para vulnerabilidades, não resolveu o problema do erro. Já mudei algumas versões do PHP no cpanel, sem sucesso.
O que estou deduzindo é que o host está bloqueando algo para forçar a contratação de um servidor dedicado, só pode ser isso. Hoje vou abrir um chamado e verificar.

Abraços,
Paulo

[reds]

Ola @Paulinho Cé

Qual servidor você esta a utilizar?
O erro 500 deve ser observado, nem sempre o causador são os limites do plano do servidor mas sim scripts mau construidos com loops muito alto ou que não terminam,
Ja tive isso em um cliente, uma situação no qual uma função escrita para o mesmo cada vez que era utilizada derrubava o site, e depurando a mesma foi desconverto um loop sem fim.

Normalmente sua loja vai criar Logs de erros a cada erro, o ideal seria investigar isso e rever se suas configurações estão adequadas a versão 2.2 (pois é uma versão bem delicada e com bugs, um tanto chatos*).