PT-2020-14309 · Magento · Magento-Lts

Luke Rodgers · Publicado 2020-10-21 · Atualizado 2021-11-18 · CVE-2020-15244

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do magento-lts anteriores à 19.4.8

Versões do magento-lts anteriores à 20.0.4

Descrição

A vulnerabilidade permite que um usuário administrador gere credenciais SOAP que podem ser usadas para provocar a execução remota de código (RCE) por meio de injeção de objeto PHP através dos atributos de um produto e do próprio produto.

Recomendações

Para versões anteriores à 19.4.8, atualize para a versão 19.4.8 ou posterior.

Para versões anteriores à 20.0.4, atualize para a versão 20.0.4 ou posterior.

Correção

Special Elements Injection

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-74

CWE-502

Identificadores relacionados

CVE-2020-15244

GHSA-JRGF-VFW2-HJ26

Produtos afetados

Magento-Lts

Referências · 6

• https://github.com/OpenMage/magento-lts · Aviso do Fabricante
• https://github.com/OpenMage/magento-lts/security/advisories/GHSA-jrgf-vfw2-hj26 · Aviso do Fabricante
• https://github.com/OpenMage/magento-lts/commit/26433d15b57978fcb7701b5f99efe8332ca8630b · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-15244 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-jrgf-vfw2-hj26 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-15244 · Aviso do Fabricante