Описание
A remote code execution vulnerability exists in Magento 2.2 prior to 2.2.10, Magento 2.3 prior to 2.3.3 or 2.3.2-p1. Dependency injection through Symphony framework allows service identifiers to be derived from user controlled data, which can lead to remote code execution.
Ссылки
- PatchVendor Advisory
- PatchVendor Advisory
Уязвимые конфигурации
Конфигурация 1Версия от 2.2.0 (включая) до 2.2.10 (исключая)Версия от 2.2.0 (включая) до 2.2.10 (исключая)Версия от 2.3.0 (включая) до 2.3.2 (исключая)Версия от 2.3.0 (включая) до 2.3.2 (исключая)
Одно из
cpe:2.3:a:magento:magento:*:*:*:*:commerce:*:*:*
cpe:2.3:a:magento:magento:*:*:*:*:open_source:*:*:*
cpe:2.3:a:magento:magento:*:*:*:*:commerce:*:*:*
cpe:2.3:a:magento:magento:*:*:*:*:open_source:*:*:*
cpe:2.3:a:magento:magento:2.3.2:-:*:*:commerce:*:*:*
cpe:2.3:a:magento:magento:2.3.2:-:*:*:open_source:*:*:*
EPSS
Процентиль: 77%
0.01001
Низкий
9.8 Critical
CVSS3
7.5 High
CVSS2
Дефекты
CWE-74
Связанные уязвимости
CVSS3: 9.8
github
около 6 лет назад
Remote code execution via vulnerable Symphony dependecy injection
EPSS
Процентиль: 77%
0.01001
Низкий
9.8 Critical
CVSS3
7.5 High
CVSS2
Дефекты
CWE-74