CVE-2019-8154

Опубликовано: 06 нояб. 2019

Источник: nvd

CVSS3: 8.8

CVSS2: 6.5

EPSS Низкий

Описание

A remote code execution vulnerability exists in Magento 2.2 prior to 2.2.10, Magento 2.3 prior to 2.3.3 or 2.3.2-p1. An authenticated user with privileges to modify product catalogs can trigger PHP file inclusion through a crafted XML file that specifies product design update.

Ссылки

https://magento.com/security/patches/magento-2.3.3-and-2.2.10-security-update
Patch
Vendor Advisory
https://magento.com/security/patches/magento-2.3.3-and-2.2.10-security-update
Patch
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:magento:magento:*:*:*:*:commerce:*:*:*

Версия от 2.2.0 (включая) до 2.2.10 (исключая)

cpe:2.3:a:magento:magento:*:*:*:*:open_source:*:*:*

Версия от 2.2.0 (включая) до 2.2.10 (исключая)

cpe:2.3:a:magento:magento:*:*:*:*:commerce:*:*:*

Версия от 2.3.0 (включая) до 2.3.2 (исключая)

cpe:2.3:a:magento:magento:*:*:*:*:open_source:*:*:*

Версия от 2.3.0 (включая) до 2.3.2 (исключая)

cpe:2.3:a:magento:magento:2.3.2:-:*:*:commerce:*:*:*

cpe:2.3:a:magento:magento:2.3.2:-:*:*:open_source:*:*:*

EPSS

Процентиль: 78%

0.01125

Низкий

8.8 High

CVSS3

6.5 Medium

CVSS2

Дефекты

CWE-829

Связанные уязвимости

GHSA-4v2q-hjx3-c4vr