🌐 Ngôn ngữ: 🇻🇳 Tiếng Việt (hiện tại) · 🇬🇧 English · 🇯🇵 日本語
Phát hành bảo mật GP247
Giới thiệu
Trang này liệt kê các bản phát hành có sửa lỗi bảo mật của gp247/core, gp247/front và
gp247/shop từ dòng 3.x, mới nhất ở trên. Trang dành cho chủ site và người vận hành: chỉ cần so phiên
bản đang chạy với bảng "Nhìn nhanh" là biết site đã an toàn hay cần cập nhật.
Nhìn nhanh — phiên bản tối thiểu an toàn
| Repo | Bản tối thiểu an toàn | Bản vá gần nhất |
|---|---|---|
| gp247/core | 3.5.0 | 2026-10-28 |
| gp247/front | 3.0.1 | 2026-09-02 |
| gp247/shop | 3.3.1 | 2026-10-28 |
⚠️ Lưu ý: chỉ dòng 3.x còn nhận bản vá bảo mật. Site còn chạy 2.x cần nâng lên 3.x.
gp247/shop3.3.1 yêu cầugp247/core3.3 trở lên — hãy cập nhật cả hai cùng lúc.
💡 Xem phiên bản đang chạy:
php artisan gp247:info, hoặccomposer show "gp247/*".
Dòng thời gian
| Thời gian | Bản phát hành | Repo | Sự cố bảo mật |
|---|---|---|---|
| 2026-10-28 | 3.5.0 | gp247/core | Dò mật khẩu / Giả mạo yêu cầu — form đăng nhập quản trị không giới hạn số lần thử; một trang khác có thể khiến trình quản lý file xoá, đổi tên hoặc di chuyển file khi quản trị viên đang đăng nhập |
| 2026-10-28 | 3.3.1 | gp247/shop | Sửa giá — khách đặt được số lượng âm, khiến tổng đơn bằng 0 hoặc âm và làm sai tồn kho |
| 2026-10-28 | 3.4.0 | gp247/core | Lộ bí mật — site nâng cấp từ trước 3.2.3 (site có bật API): token API cấp trước 3.2.3 vẫn không hết hạn và khoá API cũ còn lưu dạng rõ trong cơ sở dữ liệu; nay gp247:update đặt hạn cho token cũ và xoá khoá dạng rõ |
| 2026-10-27 | 3.2.3 3.2.3 |
gp247/core gp247/shop |
Phân quyền / Rò dữ liệu — REST API (site có bật API): API quản trị không áp dụng phân quyền và phạm vi cửa hàng; đăng nhập API không giới hạn số lần thử; token không hết hạn; khoá API lưu dạng rõ; API công khai lộ trường nội bộ (giá vốn, nhà cung cấp, tồn kho) và sản phẩm chưa hiển thị. Ngoài ra: khách hàng bị khoá vẫn đăng nhập được |
| 2026-10-21 | 3.1.2 | gp247/core | Path traversal / SSRF — cài và cập nhật extension tin vào gói và đường dẫn tải không đáng tin; license có thể bị gửi sang máy chủ khác qua chuyển hướng |
| 2026-09-29 | 3.0.14 | gp247/core | Lộ bí mật — màn cấu hình gửi giá trị bí mật đã giải mã (mật khẩu SMTP, secret key) xuống trình duyệt |
| 2026-09-04 | 3.0.3 | gp247/core | Lộ bí mật — bí mật cấu hình (mật khẩu SMTP, client secret, license) lưu dạng rõ trong cơ sở dữ liệu; nay được mã hoá |
| 2026-09-02 | 3.0.1 3.0.2 |
gp247/front gp247/shop |
Rò dữ liệu — một số màn quản trị (nhóm liên kết, danh mục, chọn sản phẩm khi tạo đơn) hiện dữ liệu của cửa hàng khác (site đa cửa hàng) |
Cập nhật thế nào
- Sao lưu cơ sở dữ liệu và thư mục site.
- Cập nhật code:
composer update gp247/core gp247/front gp247/shop - Áp dụng cập nhật dữ liệu, cấu hình, cache:
php artisan gp247:update - Kiểm tra lại phiên bản bằng
php artisan gp247:info.
Chi tiết từng bước: Hướng dẫn cập nhật GP247.
Báo lỗ hổng bảo mật
Phát hiện lỗ hổng, vui lòng gửi email tới gp247.net@gmail.com — không mở issue công khai trên GitHub để tránh lộ lỗi trước khi có bản vá.
Hỏi & Đáp (Q&A)
Câu 1: Site tôi có bị ảnh hưởng không?
→ So phiên bản đang chạy với bảng "Nhìn nhanh". Thấp hơn bản tối thiểu ở bất kỳ repo nào thì cần cập nhật.
Câu 2: Tôi không dùng đa cửa hàng / không bật API thì có cần cập nhật không?
→ Các dòng ghi "(site đa cửa hàng)" hoặc "(site có bật API)" không ảnh hưởng site của bạn, nhưng các dòng khác vẫn có. Luôn nên lên bản tối thiểu.
Câu 3: Tôi còn chạy 2.x thì sao?
→ Dòng 2.x không còn nhận bản vá bảo mật và không được liệt kê ở trang này. Hãy nâng lên 3.x (bản tối thiểu ở bảng "Nhìn nhanh") theo hướng dẫn cập nhật.
Câu 4: Vì sao trang không mô tả chi tiết cách lỗi bị khai thác?
→ Để không chỉ đường cho kẻ tấn công nhắm vào các site chưa cập nhật. Trang chỉ nêu loại lỗi, phạm vi ảnh hưởng và bản đã vá.
📅 Cập nhật lần cuối: 2026-10-28 · ✍️ Tác giả (Author): GP247