Qualche buona ragione per cui un modulo accede in remoto a global / crypt / key?

Perdona la mia ignoranza, ma la chiave di crittografia viene utilizzata per decrittografare i dati di Magento, giusto? C'è un buon motivo per accedere a un modulo? Mi sono imbattuto in questo codice dopo aver installato Advanced Content Manager ...

<div id="banana-tracker">
<?php
    $stores = Mage::app()->getStores();
    $key = (string)Mage::getConfig()->getNode('global/crypt/key');
    $date = (string)Mage::getConfig()->getNode('global/install/date');
    $serverIp = $_SERVER['SERVER_ADDR'];

    $params = 'key='.$key.'&date='.$date.'&';

    foreach($stores as $store)
    {
        $params .= 'store_'.$store->getCode().'='.urlencode(Mage::app()->getStore($store->getId())->getBaseUrl(Mage_Core_Model_Store::URL_TYPE_LINK)).'&';
    }
?>
<img src="http://www.advancedcontentmanager.com/images/distant/banana-tracker.gif?<?php echo $params; ?>time=<?php echo time(); ?>&serverip=<?php echo $serverIp; ?>" />

Sì ... c'è una buona ragione.
Vogliono conoscerlo e registrarlo, per ogni evenienza. :)

Dovresti disinstallare l'estensione (molto probabilmente l'hai già fatto). Non utilizzare mai estensioni che "telefonano a casa", indipendentemente dai dati che inviano a casa.

Potresti voler elencare l'estensione qui affinché gli altri possano vedere: Codice divertente / inutile / orribile dalle estensioni di Magento

Oggi abbiamo ricevuto la richiesta di supporto per questa funzione. Lo abbiamo già risolto e rimosso questo pezzo di codice. Una nuova versione è disponibile per tutti i nostri clienti nella loro area clienti (gratuitamente, poiché offriamo un aggiornamento illimitato).

So che dobbiamo giustificarlo, quindi facciamolo:

• L'obiettivo di questo tracker era SOLO seguire l'uso non autorizzato della nostra estensione.
• Il tracker è stato visualizzato solo nell'area di amministrazione (nessuno dei tuoi clienti o nessun altro che tu e noi sia stato in grado di vederlo).
• Abbiamo rimosso anche questo nel nostro DB.
• La chiave è solo per crittografare la password dell'amministratore. Dato che lavoriamo con tutti voi tramite richieste di supporto, potreste avervi già inviato le vostre credenziali via e-mail, per supporto. Se volessimo la tua password, l'avremmo inviata direttamente ... Non era l'obiettivo.
• Anche con la chiave, la tua password è ancora crittografata. E l'amministratore magento blocca l'utente dopo alcuni tentativi.

Riconosciamo che si tratta di un errore, e questa è la forza della comunità e del sistema open source: possiamo riparare e migliorare molto più velocemente. Grazie a tutti per averci avvisato, faremo ora maggiori sforzi sulla vulnerabilità.