Ich habe eine dicke Sicherheitslücke in meinem Shop und ich weiß aktuell nicht woher sie kommt. Wenn man im Benutzerkonto eine Bestellung aufruft und dort auf Rechnung -> Rechnung drucken klickt, öffnet sich folgender Link: sales/order/printInvoice/invoice_id/12345/
Ändert man jetzt die ID am Ende, so wird jede andere Rechnung angezeigt, auch von anderen Käufern. Im schlimmsten Fall könnte jemand dort alle Rechnungen herunterladen, die je im Shop generiert würden. Es wird lediglich abgefragt, ob derjenige aktuell im Shop eingeloggt ist, nicht aber, ob er überhaupt berechtigt ist, die Rechnung aufzurufen. Hat jemand eine Idee, was da los ist? Ist das ein dicker Fehler in magento, oder durch eine Erweiterung?
LG
Mikesh
