• Descargar nueva versión
• Fichero con las diferencias de esta versión
• Notas de esta versión

Como siempre se recomienda no actualizar directamente en producción.

El futuro de Magento

Y excelente post que Damian que nos comenta los cambios que pueden confirmarse hoy mismo!!

Magento Enterprise Edition y el cambio de modelo

Actualizacion (16/04/2009): Ya tenemos anuncio oficial

Todas las novedades en las notas de la release.

Gracias a Ricardo por el aviso

Me complace presentar Averiado.net, una web Española de anuncios clasificados de artículos averiados, como su buen nombre indica.

Hacía tiempo que tenía registrado este dominio para realizar una página de esta naturaleza.

Cuando conocí Magento, con la idea de montar una tienda Online, empecé a investigar, pero debido a la crisis, cancelé el proyecto.

Fue entonces cuando empecé a pensar que gracias a Magento, era posible realizar una web de anuncios, y poco a poco, aquí está el resultado.

La web lleva pocos días Online, y parece que por ahora tiene un número razonable de visitas, principalmente por aparecer en la primera página en los principales buscadores con la palabra clave “averiado”, y ya tiene unos cuantos anuncios.

Sin embargo, la web sigue en pruebas, por eso os invito a registraros y a que naveguéis por la web en busca de errores o fallos de traducción.

Por supuesto, si tenéis algún artículo averiado, estáis invitados a publicar vuestros anuncios, sería una gran ayuda para lazar la web.

He de decir que mis conocimientos de diseño y programación web son escasos, pero con trabajo y gracias en gran medida a los Foros de MGNT y a sus usuarios, la web está terminada.

Podréis encontrarme por el Foro de MGNT si necesitáis ayuda, estaré encantado en ayudaros.

Vuestros comentarios también son bienvenidos.

Gracias a tod@s.

Arwin,
Averiado.net.

• Haz una copia de seguridad del ficheros index.php y .htaccess del raiz, es decir, copia y renómbralos por ejemplo a index_bak.php y .htaccess_bak
• Actualiza
• Vuelve a renombrarlo y dejar los originales.

Como siempre se recomienda no actualizar en producción.

Esta actualización corrige el problema comentado aquí: La importancia del directorio de administración

Os dejo mi tienda como dijisteis en el foro. Tenemos regalos personalizados y productos de electromedicina. Espero que os guste:

www.tienda.summarios.com

¿Por qué comento esto?

Hoy nos hemos levantado con un aviso en nuestro panel de control, en el blog oficial de Magento, en LinkedIn, en foros… de un agujero de seguridad relativo al panel de control del tipo CSRF.

No vamos a entrar en detalles de este ataque, podemos leer más información aquí, pero es un ataque que se puede evitar fácilmente ocultando la dirección de nuestro directorio de administración, tal y como comentan en el blog oficial.

Es recomendable que no dejemos el directorio que viene por defecto como acceso para el panel de control, ‘admin‘, sino que pongamos uno modificado, que sólo nosotros conozcamos: ‘zonaadmin‘, ‘privadowww‘, ‘paneldecontrol‘… Con este sencillo paso, además de evitar este tipo de ataques, nos evitamos que otros usuarios accedan a la página de acceso e intentan acceder al sistema probando diferentes claves.

Modificar la ruta del directorio del panel de control de Magento

Abrimos el fichero:

app/etc/local.xml

y actualizamos el valor que encontramos bajo la ruta:

admin->routers->adminhtml->args->frontName

quedando la siguiente estructura:

Sin embargo es muy sencillo mostrar atributos, que no se cargan por defecto, en el listado de productos de nuestras categorías. Gracias a la potencia y escalabilidad de Magento podemos realizar esto sin tener que tocar el código del núcleo.

Lo primero que tendremos que tener es nuestro atributo creado y correctamente clasificado (y con datos) en la ficha de nuestro producto. Para añadir un atributo lo haremos desde el menú de Catálogo y en Gestionar atributos. Después asignaremos el atributo creado a un grupo de datos (los bloques que aparecen a la izquierda en la edición de una ficha de producto) desde Gestionar bloques de atributos.

Una vez realizado los pasos necesarios en la administración, vamos a editar el fichero XML correspondiente dentro de la carpeta ‘layout’ de nuestra plantilla para Magento.

Abriremos el XML correspondiente a la sección en la que necesitamos mostrar el atributo, en nuestro caso como vamos a mostrar el atributo en el listado de categorías abrimos el fichero: catalog.xml y añadimos los atributos que queremos modificar, bajo <catalog_category_default>.

<layout>
<!-- ... -->
<catalog_category_default>
 
<!-- ... -->
<block type="catalog/product_list" name="product_list">
 
<!-- MODIFICACIÓN -->
<action method="addAttribute"><attribute>NombreAtributo</attribute></action>
<!-- FIN MODIFICACIÓN -->
 
</block>
<!-- ... -->
 
</catalog_category_default>
<!-- ... -->
</layout>

Donde ‘NombreAtributo‘ corresponde con el identificador del atributo a mostrar. Realizaremos lo mismo bajo el padre <catalog_category_layered>.

Y ahora ya solo nos queda añadir el código necesario en nuestra plantilla para que el atributo se muestre.

Abrimos el fichero:  app/design/frontend/<tienda>/<plantilla_web>/template/catalog/product/list.phtml

Y no tenemos más que añadir el siguiente código allí donde queramos que aparezca el valor del atributo.

Para mostrar un valor:

<?php echo $_product->getNombreAtributo()?>

O

<?php echo $_product->detData('NombreAtributo'); ?>

Para mostrar un desplegable:

<?php echo $_product->getAttributeText('NombreAtributo')?>

Para un campo booleano:

<?php echo str_replace(1,"Yes",str_replace(0,"No",$_product->getNombreAtributo()))?>

Como hemos dicho, esto no es necesario en la ficha del producto, puesto que todos los atributos se cargan automáticamente.

1. El downloader (www.dominio.com/magento/downloader): Para verlo, ir a http://www.dominio.com/magento/downloader?return=%22%3Cscript%3Ealert(xss)%3C/script%3E.
   Para corregirlo, abrir /downloader/Maged/Model/Session.php y reemplazar las lineas 60-62:

   60 61 62

   if (!empty($_GET['return'])) { $this->set('return_url', $_GET['return']); }

   por estas:

   60 61 62

   if (!empty($_GET['return'])) { $this->set('return_url', htmlentities($_GET['return'])); }

2. Login del administración: Para verlo, poner

   "><script>alert('xss')</script>

   en el campo Nombre de Usuario y lo que sea en de contraseña.
   Para corregirlo, abrir app\design\adminhtml\default\default\template\login.phtml y reemplazar la linea 54:

   54	<input type="text" id="username" name="login[username]" value="<?php echo $username ?>" class="required-entry input-text" /></div>

   con

   54	<input type="text" id="username" name="login[username]" value="<?php echo htmlentities($username) ?>" class="required-entry input-text" /></div>

3. La pagina que reenvia la contraseña del administrador: Para verlo ir a Para verlo, ir a http://www.dominio.com/magento/admin/admin/index/forgotpassword/ y hacer lo mismo que en el punto 2.
   Para corregirlo, abrir app\design\adminhtml\default\default\template\forgotpassword.phtml y reemplazar la linea 58:

   58	<input type="text" id="email" name="email" value="<?php echo $email ?>" class="required-entry input-text forgot-password" style="width:461px;" />

   con

   58	<input type="text" id="email" name="email" value="<?php echo htmlentities($email) ?>" class="required-entry input-text forgot-password" style="width:461px;" />

De todas formas, como regla general nunca entrar en el admin a partir de un enlace que os pasan, así se evitan estos peligros. Cuando cambiais el código, cuidado con las comillas, que no sé si copiaran bien o no (de lo que he probado si se guardan bien, pero estad atento )
Lo he visto donde nuestros vecinos franceses.

Edito: para completar este tema, en el blog oficial explican que una buena practica es de cambiar el nombre del admin,o sea en vez de tener el panel de administración en http://www.midominio.com/magento/admin algo como http://www.midominio.com/magento/loqueyodiga .
Esto se puede especificar en el proceso de instalación de la tienda, pero por si lo queremos cambiar despues, en una tienda en funcionamiento, hay que editar el archivo app/etc/local.xml cambiando el valor de admin->routers->adminhtml->args->frontName:

53
54
55
56
57
58
59
60
61

     <admin>
        <routers>
            <adminhtml>
                <args>
                    <frontName><![CDATA[loqueyodiga]]></frontName>
                </args>
            </adminhtml>
        </routers>
     </admin>

• Notas de la release
• Ficheros que han cambiado de la versión anterior
• Descarga completa

Recordar que es mejor no actualizar directamente en producción.