Inwieweit das eine ernste Sicherheitslücke ist, kann ich nicht beurteilen - Man kann jedoch mit bestimmten Eingaben den “Inputfilter” zum “Aufgeben” bringen. Betroffen sind sämtliche Eingabefelder in xt:Commerce-Shops, also Suche, Kontaktformular, LogIn-Formular, Bewertungen …

Mehr dazu ist u.a. » hier zu lesen.
In einem Standard-Shop 3.04 SP2.1 sehen die Fehlermeldungen in etwa so aus:

Fatal error: Allowed memory size of 25165824 bytes exhausted (tried to allocate 8388610 bytes) in /home/www/lalala/html/dings/includes/classes/class.inputfilter.php on line 119

Problematisch sind zum Beispiel Eingaben à la <>> oder <>tralala> und <> > -
Während Folgendes kein Problem ist < >> oder <lalala>>

 

Lösungsvorschlag:

Man könnte jetzt einen regulären Ausdruck zurechtzufummeln:
“Nach einem <> darf kein > auftauchen, dem kein weiteres < vorangeht.”

Das kann man auch lassen, denn im Grunde heißt das ebenso
“Es darf halt keine <> geben” - Was ein wenig einfacher zu handhaben ist.

:-)

Man nehme also die Datei “includes/classes/class.inputfilter.php” und füge in Zeile 109 Folgendes ein: $source = str_replace('<>','',$source);

Vermutlich ist es aber besser, alle Eingabefelder grundsätzlich gleich sehr viel strenger zu filtern, beispielsweise mit strip_tags - Denn man braucht ja nicht unbedingt HTML im Kontaktformular. In den Bewertungen sind HTML-Tags bereits “verboten”, und in “Suche”, “Schnellkauf” etc. ohnehin überflüssig. Bloß wären dabei ein paar mehr System-Dateien zu bearbeiten …

Bitte betrachten Sie den Code als vorläufige Lösung, weitere Hinweise und Verbesserungsvorschläge sind willkommen.

 

An dieser Stelle übrigens vielen Dank an Daniel Siekiera von Webdesign Erfurt, der mich auf diesen Fehler hingewiesen hat.