# Security Issue 2017-002: please act immediately! **URL:** \ **Category:** OXID Announcements\ **Tags:** security\ **Created:** [November 2, 2017, 10:42am UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335 "2017-11-02T10:42:44Z")\ **Posts on this page:** 14\ **Page:** 1
**Author:** ![marco.steinhaeuser](https://forum.oxid-esales.com/user_avatar/forum.oxid-esales.com/marco.steinhaeuser/32/1832_2.png) [@marco.steinhaeuser](https://forum.oxid-esales.com/u/marco.steinhaeuser)\ **Post date:** [November 2, 2017, 10:42am UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335/1 "2017-11-02T10:42:45Z")
Our team found a **critical security issue** in OXID eShop. Please update immediately or apply the hotfix if updating is not possible at the moment. Please find all relevant information in this [FAQ](https://oxidforge.org/en/faq-security-bulletin-2017-002.html). [German]: Wir haben eine **kritische Sicherheitslücke** in OXID eShop gefunden. Bitte aktualisiert schnellstmöglich oder spielt Euch den bereitgestellten Hotfix ein, falls eine Aktualisierung nicht schnell möglich ist. Alle relevanten Informationen haben wir in diesen [FAQ](https://oxidforge.org/de/faq-oxid-security-bulletin-2017-002.html) zusammengestellt. You can download update package from here: [https://oxidforge.org/en/downloads](https://oxidforge.org/en/downloads) ---
**Author:** ![marco.steinhaeuser](https://forum.oxid-esales.com/user_avatar/forum.oxid-esales.com/marco.steinhaeuser/32/1832_2.png) [@marco.steinhaeuser](https://forum.oxid-esales.com/u/marco.steinhaeuser)\ **Post date:** [November 2, 2017, 10:43am UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335/2 "2017-11-02T10:43:26Z")
---
**Author:** ![oxid-flo](https://forum.oxid-esales.com/letter_avatar_proxy/v4/letter/o/7ea924/32.png) [@oxid-flo](https://forum.oxid-esales.com/u/oxid-flo)\ **Post date:** [November 2, 2017, 5:42pm UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335/3 "2017-11-02T17:42:36Z")
Bitte kurze Unterstützung zu folgenden Punkten: [1] Die Standardeinstellungen für Artikel pro Kategorieseite ist 10; falls Ihr diese Einstellung individuell geändert habt, rechnet bitte mit Eurem eigenen Wert. Wo genau steht der eigene Wert und welchen nehme ich hierzu? Im Flow Theme sind zwei verschiedene Felder möglich. a) Anzahl der Artikel, die in einer Artikelliste pro Seite angezeigt werden können. (In der ersten Zeile bei mir der Wert 10) b) Für Galerie: Anzahl der Artikel, die in einer Artikelliste pro Seite angezeigt werden können. (in der ersten Zeile bei mir der Wert 64) [2] Ich erhalte 0 als Datensatz zurück bei: select FLOOR((select count(_) from oxarticles where oxshopid = 1)/10 + 0.5) as max\_single\_cat\_pages; oder select FLOOR((select count(_) from oxarticles where oxshopid = 1)/64 + 0.5) as max\_single\_cat\_pages; Irgendetwas habe ich bestimmt falsch verstanden… Ich brauche Unterstützung. Vielen Dank! ---
**Author:** ![marco.steinhaeuser](https://forum.oxid-esales.com/user_avatar/forum.oxid-esales.com/marco.steinhaeuser/32/1832_2.png) [@marco.steinhaeuser](https://forum.oxid-esales.com/u/marco.steinhaeuser)\ **Post date:** [November 2, 2017, 6:00pm UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335/4 "2017-11-02T18:00:28Z")
@oxid-flo, besteht denn die Vermutung, dass Du einen solchen Angriff hattest? Oder mit anderen Worten: Ist die oxseo-Tabelle wirklich so voll geworden, dass Du an der Quota des Hosting-Providers kratzt? Dieses Tutorial ist eigentlich vorrangig dafür gedacht, die Datenbank wieder zu bereinigen, wenn es denn wirklich passiert ist. ---
**Author:** ![oxid-flo](https://forum.oxid-esales.com/letter_avatar_proxy/v4/letter/o/7ea924/32.png) [@oxid-flo](https://forum.oxid-esales.com/u/oxid-flo)\ **Post date:** [November 2, 2017, 6:36pm UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335/5 "2017-11-02T18:36:14Z")
Wenn ich die Tabelle “oxseo” auswähle erscheint: Zeige Datensätze 0 - 499 (15239 insgesamt…) Also 15239 Einträge, oder? Ich finde, es sind schon viele Einträge. Ich habe ca. 500 Artikel. Ebenso ist mir aufgefallen, dass mein Shop seit ca. 2 Wochen immer langsamer geworden ist. Es hatte auch andere Gründe…aber ich bin mir nun unsicher. ---
**Author:** ![marco.steinhaeuser](https://forum.oxid-esales.com/user_avatar/forum.oxid-esales.com/marco.steinhaeuser/32/1832_2.png) [@marco.steinhaeuser](https://forum.oxid-esales.com/u/marco.steinhaeuser)\ **Post date:** [November 2, 2017, 8:09pm UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335/6 "2017-11-02T20:09:56Z")
Sind denn Seitenzahlen in Kategorien dabei, die überhaupt nicht existieren können, also z.B. [http://demoshop.oxid-esales.com/professional-edition/en/Kiteboarding/Kites/212/](http://demoshop.oxid-esales.com/professional-edition/en/Kiteboarding/Kites/212/)? In dieser Kategorie gibt es offiziell nur zwei Seiten, weil nur zwölf Artikel (per default). Allerdings kann auch der Besucher festlegen, dass er nur 10/20/50 Artikel per Kategorie anzeigen möchte - schwubs: ein DB-Eintrag wird gesetzt. Insofern finde ich 15K gar nicht mal sooo viel. ---
**Author:** ![oxid-flo](https://forum.oxid-esales.com/letter_avatar_proxy/v4/letter/o/7ea924/32.png) [@oxid-flo](https://forum.oxid-esales.com/u/oxid-flo)\ **Post date:** [November 2, 2017, 8:39pm UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335/7 "2017-11-02T20:39:48Z")
Vielen Dank für die Antwort. Ja, es sind Seitenzahlen dabei, die nicht existieren können. Hatte ich vor einiger Seite ohne groß nachzudenken so eingestellt. Auswahl: 64, 96, 120, 192 Artikel in einer Kategorie aktuell: 129 In den anderen Kategorien: z.B. 48 Also, nicht auffällig, oder? Kann oxSeo frisch aufgesetzt werden um eventuell alte Einträge zu löschen? ---
**Author:** ![marco.steinhaeuser](https://forum.oxid-esales.com/user_avatar/forum.oxid-esales.com/marco.steinhaeuser/32/1832_2.png) [@marco.steinhaeuser](https://forum.oxid-esales.com/u/marco.steinhaeuser)\ **Post date:** [November 2, 2017, 9:00pm UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335/8 "2017-11-02T21:00:43Z")
Nicht auffällig und ich sehe da keinen Handlungsbedarf. > oxseo frisch aufsetzen: Theoretisch ja, praktisch halte ich das im laufenden Shop nicht für eine gute Idee: Die oxseo vererbt in die oxseohistory und stellt damit sicher, dass einmal geänderte Artikel-Titel auf wirklich per 301 auf die aktuelle Seite geleitet werden. Natürlich würde die oxseo beim ersten Aufruf der Seite neu berechnet und die URL in der oxseo abgelegt bzw. in die oxseohistory weitervererbt. Macht man das aber zu oft und ohne Unterlass, baut sich im Laufe der Zeit eine Redirect-Kette auf, die man nicht wirklich haben will… ---
**Author:** ![oxid-flo](https://forum.oxid-esales.com/letter_avatar_proxy/v4/letter/o/7ea924/32.png) [@oxid-flo](https://forum.oxid-esales.com/u/oxid-flo)\ **Post date:** [November 3, 2017, 6:26am UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335/9 "2017-11-03T06:26:23Z")
Vielen Dank für die Antwort. Die Tabelle enthält in der Spalte “oxseourl” jedoch viele Einträge, die ich garnicht zuordnen kann bzw. ich mich frage, wie diese Einträge zustande kommen? z.B. tag/2a/1/ tag/c/3/ tag/sae-oxid/ tag/2000-c/1/ Was genau passiert genau, wenn ich im Admin unter “Grundeinstellungen”, dann “SEO” den Button “SEO URLs neu berechnen” drücke? Wenn ich die Tabellen “oxseo” und “oxseohistory” leere…läuft mein eShop dann noch? Klar, das wäre eine Aktion, die ich nicht oft mache. Das wäre das erste mal seit 2011? Frage über Fragen. Hier hoffe ich auf das Wissen und die Erfahrung von Dir! 🙂 ---
**Author:** ![marco.steinhaeuser](https://forum.oxid-esales.com/user_avatar/forum.oxid-esales.com/marco.steinhaeuser/32/1832_2.png) [@marco.steinhaeuser](https://forum.oxid-esales.com/u/marco.steinhaeuser)\ **Post date:** [November 3, 2017, 8:04am UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335/10 "2017-11-03T08:04:47Z")
> z.B. tag/2a/1/ Das sind halt URLs aus den Tags generiert worden. > Was genau passiert genau, wenn ich im Admin unter “Grundeinstellungen”, dann “SEO” den Button “SEO URLs neu berechnen” drücke? Werden alle SEO-URLs entsprechend der Regeln neu aufgebaut. > Wenn ich die Tabellen “oxseo” und “oxseohistory” leere…läuft mein eShop dann noch? Klar läuft der noch. Das probiert man ja auch nicht am offenen Herzen aus. Und wenn, würde ich mit einem SEO-Mann vorher sprechen. ---
**Author:** ![oxid-flo](https://forum.oxid-esales.com/letter_avatar_proxy/v4/letter/o/7ea924/32.png) [@oxid-flo](https://forum.oxid-esales.com/u/oxid-flo)\ **Post date:** [November 3, 2017, 12:30pm UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335/11 "2017-11-03T12:30:20Z")
Ok - danke für die kurzfristigen Antworten. Hat mir geholfen ein wenig zu verstehen. Dann lasse ich mal die Finger hier weg…und lösche mal vorerst nichts. Danke Marco! ---
**Author:** ![andoreen](https://forum.oxid-esales.com/user_avatar/forum.oxid-esales.com/andoreen/32/67_2.png) [@andoreen](https://forum.oxid-esales.com/u/andoreen)\ **Post date:** [November 3, 2017, 12:34pm UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335/12 "2017-11-03T12:34:20Z")
Eventuell ist es Besuchern erlaubt eigene Suchbegriffe in die Artikel einzupflegen. Wir haben das deaktiviert und damit sind solche Sachen in der Tagwolke nicht mehr aufgetaucht. Zuvor mußte diese aber entrümpelt werden. ---
**Author:** ![marco.steinhaeuser](https://forum.oxid-esales.com/user_avatar/forum.oxid-esales.com/marco.steinhaeuser/32/1832_2.png) [@marco.steinhaeuser](https://forum.oxid-esales.com/u/marco.steinhaeuser)\ **Post date:** [November 19, 2017, 5:17pm UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335/13 "2017-11-19T17:17:28Z")
---
**Author:** ![system](https://forum.oxid-esales.com/user_avatar/forum.oxid-esales.com/system/32/4245_2.png) [@system](https://forum.oxid-esales.com/u/system)\ **Post date:** [July 13, 2026, 8:35pm UTC](https://forum.oxid-esales.com/t/security-issue-2017-002-please-act-immediately/92335/14 "2026-07-13T20:35:58Z")