Описание
Magento Commerce versions 2.4.2 (and earlier), 2.4.2-p1 (and earlier) and 2.3.7 (and earlier) are affected by an XML Injection vulnerability in the Widgets Update Layout. An attacker with admin privileges can trigger a specially crafted script to achieve remote code execution.
Ссылки
- Vendor Advisory
- Vendor Advisory
Уязвимые конфигурации
Конфигурация 1Версия до 2.3.7 (исключая)Версия до 2.3.7 (исключая)Версия от 2.4.0 (включая) до 2.4.2 (исключая)Версия от 2.4.0 (включая) до 2.4.2 (исключая)
Одно из
cpe:2.3:a:magento:magento:*:*:*:*:commerce:*:*:*
cpe:2.3:a:magento:magento:*:*:*:*:open_source:*:*:*
cpe:2.3:a:magento:magento:*:*:*:*:commerce:*:*:*
cpe:2.3:a:magento:magento:*:*:*:*:open_source:*:*:*
cpe:2.3:a:magento:magento:2.3.7:-:*:*:commerce:*:*:*
cpe:2.3:a:magento:magento:2.3.7:-:*:*:open_source:*:*:*
cpe:2.3:a:magento:magento:2.4.2:-:*:*:commerce:*:*:*
cpe:2.3:a:magento:magento:2.4.2:-:*:*:open_source:*:*:*
cpe:2.3:a:magento:magento:2.4.2:p1:*:*:commerce:*:*:*
cpe:2.3:a:magento:magento:2.4.2:p1:*:*:open_source:*:*:*
EPSS
Процентиль: 93%
0.09651
Низкий
9.1 Critical
CVSS3
7.2 High
CVSS3
Дефекты
CWE-78
Связанные уязвимости
CVSS3: 9.1
github
больше 2 лет назад
Magento XML Injection vulnerability in the Widgets Update Layout
CVSS3: 9.1
fstec
больше 4 лет назад
Уязвимость программной платформы для разработки и управления онлайн магазинами Magento Commerce, позволяющая нарушителю выполнить произвольный код
EPSS
Процентиль: 93%
0.09651
Низкий
9.1 Critical
CVSS3
7.2 High
CVSS3
Дефекты
CWE-78