File Upload Virus Scan
Nieuwe module in de library: vendic/magento2-clamscan (1.3.3), EUR 500 fixed fee incl. setup. Klopt dit technisch?
Wat de klant leest
NL: Zodra klanten in je shop bestanden kunnen uploaden, zoals een logo voor drukwerk, een foto bij een retour of een cv bij een sollicitatie, kan iedereen ook een bestand met malware uploaden. Deze module scant uploads in de Frontend met ClamAV voordat Magento ze opslaat: een besmet bestand wordt geweigerd en gelogd, zonder dat jij of je team iets hoeft te doen.
EN: Once your store lets customers upload files, such as a logo for a print job, a photo with a return or a CV with an application, anyone can also upload a file that carries malware. This module scans frontend uploads with ClamAV before Magento saves them: an infected file is refused and logged, without anyone on your team having to act.
Zo werkt het: Klant uploadt een bestand in je shop → ClamAV scant het bestand voordat Magento het opslaat → Malware gevonden: upload geweigerd en gelogd
Te checken
| Bewering | Wat de code zegt |
|---|---|
| Scant uploads in de Frontend met ClamAV voordat Magento ze opslaat | beforeSave-plugin op Magento\Framework\File\Uploader, alleen in etc/frontend/di.xml. Admin-, REST- en GraphQL-uploads en eigen uploadcode worden niet gescand. |
| Een besmet bestand wordt geweigerd | MalwareFoundException (LocalizedException, "Malware found in uploaded file"), het bestand wordt niet opgeslagen. |
| ... en gelogd | Gelogd op info-niveau, niet error. Dus niet zichtbaar in Sentry. Er gaat geen mail of melding uit. |
| Zonder dat jij of je team iets hoeft te doen | Module staat aan vanaf de installatie (clamscan/general/enable_for_fileupload = 1). ClamAV draait op al onze servers (Sil). |
| Voorbeelden: logo voor drukwerk, foto bij een retour, cv bij een sollicitatie | Alleen gedekt als dat formulier via de core Uploader loopt. Open vraag: lopen de bestandsuploads van product custom options via de Uploader? |
| Niet op de pagina, wel goed om te weten | Faalt open: duurt clamdscan langer dan 6 seconden, ontbreekt het of geeft het rare output, dan gaat de upload door met een critical in de log. |
De pagina in de library
Bewust weggelaten: de admin-configuratie (staat aan vanaf installatie) en een melding over ClamAV bij de hostingpartij (we hosten iedereen zelf).