CVE-2020-24408

Опубликовано: 16 окт. 2020

Источник: nvd

CVSS3: 6.1

CVSS2: 4.3

EPSS Низкий

Описание

Magento versions 2.4.0 and 2.3.5p1 (and earlier) are affected by a persistent XSS vulnerability that allows users to upload malicious JavaScript via the file upload component. This vulnerability could be abused by an unauthenticated attacker to execute XSS attacks against other Magento users. This vulnerability requires a victim to browse to the uploaded file.

Ссылки

https://helpx.adobe.com/security/products/magento/apsb20-59.html
Vendor Advisory
https://helpx.adobe.com/security/products/magento/apsb20-59.html
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:magento:magento:*:*:*:*:commerce:*:*:*

Версия до 2.3.4 (включая)

cpe:2.3:a:magento:magento:*:*:*:*:open_source:*:*:*

Версия до 2.3.4 (включая)

cpe:2.3:a:magento:magento:2.3.5:-:*:*:commerce:*:*:*

cpe:2.3:a:magento:magento:2.3.5:-:*:*:open_source:*:*:*

cpe:2.3:a:magento:magento:2.3.5:p1:*:*:commerce:*:*:*

cpe:2.3:a:magento:magento:2.3.5:p1:*:*:open_source:*:*:*

cpe:2.3:a:magento:magento:2.4.0:*:*:*:commerce:*:*:*

cpe:2.3:a:magento:magento:2.4.0:*:*:*:open_source:*:*:*

EPSS

Процентиль: 80%

0.01321

Низкий

6.1 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

CWE-79

Связанные уязвимости

GHSA-jxjc-6xmh-h7mg

CVSS3: 6.1

github

больше 3 лет назад

Magento 2 Community Edition XSS Vulnerability

BDU:2020-05133

CVSS3: 7.2

fstec

больше 5 лет назад

Уязвимость программной платформы для разработки и управления онлайн магазинами Magento Commerce, существующая из-за недостаточной очистки предоставленных пользователем данных, позволяющая нарушителю выполнить вредоносный JavaScript-код