Описание
Magento Commerce versions 2.4.2 (and earlier), 2.4.2-p1 (and earlier) and 2.3.7 (and earlier) are affected by an improper input validation vulnerability. An attacker with admin privileges can upload a specially crafted file to bypass file extension restrictions and could lead to remote code execution.
Ссылки
- PatchVendor Advisory
- PatchVendor Advisory
Уязвимые конфигурации
Конфигурация 1Версия от 2.3.0 (включая) до 2.3.7 (включая)Версия от 2.4.0 (включая) до 2.4.2 (включая)Версия от 2.3.0 (включая) до 2.3.7 (включая)Версия от 2.4.0 (включая) до 2.4.2 (включая)
Одно из
cpe:2.3:a:adobe:adobe_commerce:*:*:*:*:*:*:*:*
cpe:2.3:a:adobe:adobe_commerce:*:*:*:*:*:*:*:*
cpe:2.3:a:adobe:adobe_commerce:2.4.2:p1:*:*:*:*:*:*
cpe:2.3:a:adobe:magento_open_source:*:*:*:*:*:*:*:*
cpe:2.3:a:adobe:magento_open_source:*:*:*:*:*:*:*:*
cpe:2.3:a:adobe:magento_open_source:2.4.2:p1:*:*:*:*:*:*
EPSS
Процентиль: 87%
0.03446
Низкий
9.1 Critical
CVSS3
7.2 High
CVSS3
6.5 Medium
CVSS2
Дефекты
CWE-20
CWE-20
Связанные уязвимости
CVSS3: 9.1
github
больше 3 лет назад
Magento has a file extension restrictions bypass
CVSS3: 9.1
fstec
больше 4 лет назад
Уязвимость программной платформы для разработки и управления онлайн магазинами Magento Commerce, связанная с недостаточной проверкой вводимых данных, позволяющая нарушителю выполнить произвольный код
EPSS
Процентиль: 87%
0.03446
Низкий
9.1 Critical
CVSS3
7.2 High
CVSS3
6.5 Medium
CVSS2
Дефекты
CWE-20
CWE-20