BDU:2022-06058

Опубликовано: 09 авг. 2022

Источник: fstec

CVSS3: 9.1

CVSS2: 9

EPSS Низкий

Описание

Уязвимость программных платформ для разработки и управления онлайн магазинами Magento Open Source и Adobe Commerce связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в контексте текущего пользователя

Вендор

Adobe Systems Inc.

Наименование ПО

Magento Open Source

Adobe Commerce

Версия ПО

до 2.3.4-p2 (Magento Open Source)

до 2.3.7-p3 включительно (Adobe Commerce)

2.4.4 (Adobe Commerce)

2.4.4 (Magento Open Source)

до 2.3.7-p3 включительно (Magento Open Source)

до 2.4.3-p2 включительно (Adobe Commerce)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,1)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://helpx.adobe.com/security/products/magento/apsb22-38.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-34254
CVE

EPSS

Процентиль: 69%

0.00599

Низкий

9.1 Critical

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2022-34254

CVSS3: 8.8

nvd

больше 3 лет назад

Adobe Commerce versions 2.4.3-p2 (and earlier), 2.3.7-p3 (and earlier) and 2.4.4 (and earlier) are affected by an Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability that could be abused by an attacker to inject malicious scripts into the vulnerable endpoint. A low privileged attacker could leverage this vulnerability to read local files and to perform Stored XSS. Exploitation of this issue does not require user interaction.

GHSA-fx9g-g9q6-x3jx

CVSS3: 8.5

github