Описание
Magento Commerce versions 2.4.2 (and earlier), 2.4.2-p1 (and earlier) and 2.3.7 (and earlier) are affected by a business logic error in the placeOrder graphql mutation. An authenticated attacker can leverage this vulnerability to altar the price of an item.
Ссылки
- PatchVendor Advisory
- PatchVendor Advisory
Уязвимые конфигурации
Конфигурация 1Версия от 2.3.0 (включая) до 2.3.7 (включая)Версия от 2.4.0 (включая) до 2.4.2 (включая)Версия от 2.3.0 (включая) до 2.3.7 (включая)Версия от 2.4.0 (включая) до 2.4.2 (включая)
Одно из
cpe:2.3:a:adobe:adobe_commerce:*:*:*:*:*:*:*:*
cpe:2.3:a:adobe:adobe_commerce:*:*:*:*:*:*:*:*
cpe:2.3:a:adobe:adobe_commerce:2.4.2:p1:*:*:*:*:*:*
cpe:2.3:a:adobe:magento_open_source:*:*:*:*:*:*:*:*
cpe:2.3:a:adobe:magento_open_source:*:*:*:*:*:*:*:*
cpe:2.3:a:adobe:magento_open_source:2.4.2:p1:*:*:*:*:*:*
EPSS
Процентиль: 68%
0.00584
Низкий
6.5 Medium
CVSS3
4 Medium
CVSS2
Дефекты
CWE-840
NVD-CWE-noinfo
Связанные уязвимости
CVSS3: 6.5
github
больше 3 лет назад
Magento affected by a business logic error in the placeOrder graphql mutation
CVSS3: 6.5
fstec
больше 4 лет назад
Уязвимость программной платформы для разработки и управления онлайн магазинами Magento Commerce, связанная с некорректной обработкой логических операций, позволяющая нарущителю обойти существующие ограничения безопасности
EPSS
Процентиль: 68%
0.00584
Низкий
6.5 Medium
CVSS3
4 Medium
CVSS2
Дефекты
CWE-840
NVD-CWE-noinfo