PT-2020-4584 · Adobe · Magento
Publicado
2020-10-15
·
Atualizado
2024-03-06
·
CVE-2020-24408
CVSS v2.0
6.4
Média
| Vetor | AV:N/AC:L/Au:N/C:P/I:P/A:N |
Nome do software vulnerável e versões afetadas
Versões 2.4.0 e 2.3.5p1 (e anteriores) do Magento
Descrição
O problema está relacionado a uma vulnerabilidade XSS persistente no componente de upload de arquivos, permitindo que usuários enviem JavaScript malicioso. Isso poderia ser explorado por um invasor não autenticado para executar ataques XSS contra outros usuários do Magento, exigindo que a vítima acesse o arquivo enviado. A vulnerabilidade existe devido à limpeza insuficiente dos dados fornecidos pelo usuário, o que pode permitir que um invasor remoto execute código JavaScript malicioso usando solicitações HTTP especialmente criadas.
Recomendações
Para as versões 2.4.0 e 2.3.5p1 do Magento (e anteriores), considere desativar o componente de upload de arquivos até que um patch esteja disponível para impedir o upload de arquivos JavaScript maliciosos. Restrinja o acesso aos arquivos enviados para minimizar o risco de exploração. Evite usar o recurso de upload de arquivos nas versões afetadas até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Magento