Det USA-ägda detaljhandelsföretaget, som behandlar hundratusentals onlinebeställningar varje vecka, kan ha riskerat miljontals transaktioner, uppskattar säkerhetsexperten Paul Moore.
Han märkte först frågan i mars 2014 och kontaktade Asda för att rapportera den.
Asda sade att det nu hade åtgärdat problemet och inga kunder hade påverkats.
Företaget, vars webbplats drivs av amerikanska detaljhandelsjätten Walmart, sade till BBC: "Asda och Walmart tar säkerheten på våra webbplatser på stort allvar.  Vi är medvetna om problemet och har genomfört förändringar för att förbättra säkerheten på vår webbplats."
"De punkter som markeras utgör en låg risk för kunderna och vår övervakning av dessa säkerhetsfrågor tyder på att ingen kundinformation har äventyrats under den tvåårsperioden."
Sedan Mr Moore gick ut med informationen har den agerat för att förbättra sin säkerhet.
"Den lilla risken för kundinformation har tagits bort och en uppdatering har tillämpats, vi lägger nu till ytterligare förbättringar som kommer att slutföras i kväll. Kort sagt, en av de två frågorna är fast men ingenting som återstår innebär någon risk för någon kundinformation eller kortuppgifter, "det berättade BBC.
Frågan uppstod på grund av två välkända bedrifter, kors-site scripting (XSS) och kors-site begäran förfalskning (CSRF), som tillsammans kan erbjuda hackare tillgång till all information användare lägger på webbplatsen, sade Mr Moore.
Det innebär att - om någon hade både Asda webbplats öppna och en annan webbplats som är infekterad med skadlig kod - de kan vara sårbara för angrepp.
"CSRF utnyttjar det förtroende en webbplats har i användarens webbläsare, så att en angripare kan utfärda förfrågningar för din räkning och från din egen dator.  XSS tillåter en angripare att bädda in skadligt innehåll på sidan för att ändra allt och allt användaren kan se," förklarade han.
Asda är inte på något sätt ensam i att ha en webbplats öppen för dessa säkerhetsbrister men Mr Moore anser att det borde ha agerat snabbare för att rätta till problemet.
"Tillbaka i mars 2014 kontaktade jag Asda för att rapportera flera säkerhetssårbarheter och trots en fix utlovade "under de närmaste veckorna", verkar lite ha förändrats," sade han.
"Asda misslyckades också med att utfärda lämpliga säkerhetsrubriker som bidrar till att minska risken genom att instruera webbläsaren att kasta innehåll som ASDA anser skadliga eller onödiga.  Majoriteten av moderna webbläsare stöder content security policy (CSP) som effektivt blockerar denna typ av attack, men mycket få webbplatser antar denna teknik," tillade han.
När han publicerade sin blogg, rådde han användare "att handla någon annanstans".
"Asda/Walmart har haft gott om möjligheter att lösa dessa problem och har misslyckats med att göra det. Om du måste fortsätta handla med Asda, öppna ett privat fönster och inte öppna några andra flikar eller fönster förrän du har loggat ut, "tillade han.
Prof Alan Woodward, en säkerhetsexpert från University of Surrey, sade att Asdas påstående att dess webbplats är säker är korrekt men det betyder inte att användarna inte är i riskzonen.
"Cross-site scripting kan lätt utnyttjas av hackare om någon har en webbplats öppen som har denna malware inbäddad samtidigt som de handlar på nätet och shoppingsajten har inte skyddat data inträde fälten på lämpligt sätt," sade han.
"De flesta människor har dussintals flikar öppna vid varje given tidpunkt."
Han gick inte så långt som att föreslå människor sluta handla där men tillade: "Jag tror att jag skulle spela säkert och se till att du bara har en flik öppen bara ifall en av dina andra webbplatser är infekterad."
"Detta är ett exempel på hur företag behöver se bortom gränserna för sin egen webbplats. Detta är en vanlig bedrift, men den kan lätt lagas. Det är en halv rad kod som kan fixa det, "tillade han.
Det finns scanners tillgängliga online som omedelbart kan avgöra om webbplatser har rätt säkerhetsrubriker.
En sådan webbplats som skannar webben för sådana headers fann att, av de miljoner mest populära webbplatser, bara 1,365 webbplatser hade dem på plats.
En brist på stormarknad Asdas webbplats gav hackare chansen att samla in kundernas personuppgifter och betalningsuppgifter, har BBC lärt sig.