Iniciar sesión
Deutsch English Español Polski
Media

Magento Open Source allows Incorrect Authorization

  • Publicada: 13.10.2023
  • Actualizado: 11.10.2026 12:17

Adobe Commerce versions 2.4.7-beta1 (and earlier), 2.4.6-p2 (and earlier), 2.4.5-p4 (and earlier) and 2.4.4-p5 (and earlier) are affected by an improper input validation vulnerability. An authenticated attacker can trigger an insecure direct object reference in the V1/customers/me endpoint to achieve information exposure and privilege escalation.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer magento/community-edition >= 2.4.7-beta1, < 2.4.7-beta2, >= 2.4.6-p1, < 2.4.6-p3, >= 2.4.5-p1, < 2.4.5-p5, >= 2.4.4-p1, < 2.4.4-p6, = 2.4.6, = 2.4.5, = 2.4.4 2.4.7-beta2, 2.4.6-p3, 2.4.5-p5, 2.4.4-p6
Paquete de Composer magento/project-community-edition <= 2.0.2 sin corrección
Magento (núcleo) magento/community-edition >= 2.4.7-beta1, < 2.4.7-beta2, >= 2.4.6-p1, < 2.4.6-p3, >= 2.4.5-p1, < 2.4.5-p5, >= 2.4.4-p1, < 2.4.4-p6, <= 2.0.2, = 2.4.6, = 2.4.5, = 2.4.4 2.4.7-beta2, 2.4.6-p3, 2.4.5-p5, 2.4.4-p6

Referencias

Puntuación CVSS 8.8/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE)
CWE-20, CWE-639, CWE-863
Plataforma
Composer, Magento
Paquete
magento/community-edition, magento/project-community-edition
Publicada
13.10.2023
Actualizado
11.10.2026 12:17

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-rpc7-gf58-v3x2 - CC BY 4.0

Historial de vulnerabilidades: magento/project-community-edition

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (161) en el archivo
Entradas en total
161
Primera → última
11.2019 10.2025
Sin corrección
160
Explotada en ataques
1

Distribución por gravedad

  • Crítica 24
  • Alta 48
  • Media 77
  • Baja 12

Divulgaciones por año

Gravedad:
  1. Magento vulnerable to stored Cross-Site Scripting (XSS)
    Alta · 8.1 CVE-2025-54264 <= 2.0.2 sin corrección
  2. Magento provides incorrect authorization through a security feature bypass
    Alta · 8.1 CVE-2025-54263 <= 2.0.2 sin corrección
  3. Magento Community Edition Improper Input Validation vulnerability
    Crítica · 9.1 Explotada en ataques CVE-2025-54236 <= 2.0.2 sin corrección
  4. Magento Cross-Site Request Forgery (CSRF) vulnerability
    Alta · 8.1 CVE-2025-49555 <= 2.0.2 sin corrección
  5. Magento vulnerable to denial of service
    Alta · 7.5 CVE-2025-49554 <= 2.0.2 sin corrección
  6. Magento has incorrect authorization issue that leads to arbitrary file system read
    Alta · 7.5 CVE-2025-49556 <= 2.0.2 sin corrección
  7. Magento Cross-site Scripting vulnerability
    Alta · 8.7 CVE-2025-49557 <= 2.0.2 sin corrección
  8. Magento Improper Authorization leading to security feature bypass
    Alta · 8.2 CVE-2025-43585 <= 2.0.2 sin corrección
  9. Improper Authorization vulnerability in Magento and Adobe Commerce
    Crítica · 9.1 CVE-2025-24434 <= 2.0.2 sin corrección
  10. Magento stored Cross-Site Scripting (XSS) vulnerability
    Alta · 8.7 CVE-2025-24438 <= 2.0.2 sin corrección
  11. Adobe Commerce Path Traversal
    Alta · 7.5 CVE-2025-24406 <= 2.0.2 sin corrección
  12. Adobe Commerce Improper Authorization vulnerability
    Alta · 8.2 CVE-2025-24409 <= 2.0.2 sin corrección
  13. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Alta · 8.7 CVE-2025-24417 <= 2.0.2 sin corrección
  14. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Alta · 8.7 CVE-2025-24416 <= 2.0.2 sin corrección
  15. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Alta · 8.7 CVE-2025-24415 <= 2.0.2 sin corrección
  16. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Alta · 8.7 CVE-2025-24414 <= 2.0.2 sin corrección
  17. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Alta · 8.7 CVE-2025-24413 <= 2.0.2 sin corrección
  18. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Alta · 8.7 CVE-2025-24412 <= 2.0.2 sin corrección
  19. Magento Improper Access Control vulnerability
    Alta · 8.1 CVE-2025-24411 <= 2.0.2 sin corrección
  20. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Alta · 8.7 CVE-2025-24410 <= 2.0.2 sin corrección
  21. Magento Stored Cross-Site Scripting (XSS) vulnerability
    Alta · 7.6 CVE-2024-39403 <= 2.0.2 sin corrección
  22. Magento DOM-based Cross-Site Scripting (XSS) vulnerability
    Alta · 8.1 CVE-2024-39400 <= 2.0.2 sin corrección
  23. Magento Path Traversal vulnerability
    Alta · 7.7 CVE-2024-39399 <= 2.0.2 sin corrección
  24. Magento does not properly restrict excessive authentication attempts
    Alta · 7.4 CVE-2024-39398 <= 2.0.2 sin corrección
  25. Magento OS Command ('OS Command Injection') vulnerability
    Alta · 8.4 CVE-2024-39402 <= 2.0.2 sin corrección
  26. Magento OS Command ('OS Command Injection') vulnerability
    Alta · 8.4 CVE-2024-39401 <= 2.0.2 sin corrección
  27. Magento Open Source allows Improper Input Validation
    Alta · 9.0 CVE-2024-20758 <= 2.0.2 sin corrección
  28. Magento Open Source allows OS Command Injection
    Alta · 9.1 CVE-2024-20720 <= 2.0.2 sin corrección
  29. Magento Open Source allows Cross-Site Scripting (XSS)
    Alta · 9.1 CVE-2024-20719 <= 2.0.2 sin corrección
  30. Magento Open Source allows Incorrect Authorization esta entrada
    Media · 8.8 CVE-2023-38218 <= 2.0.2 sin corrección
  31. Magento affected by remote code execution vulnerability in the CMS page scheduled update feature
    Crítica · 9.1 CVE-2021-36021 <= 2.0.2 sin corrección
  32. Magento improper access control vulnerability within Magento's Media Gallery Upload workflow
    Crítica · 9.1 CVE-2021-36036 <= 2.0.2 sin corrección
  33. Magento XML Injection vulnerability in the Widgets Update Layout
    Crítica · 9.1 CVE-2021-36023 <= 2.0.2 sin corrección
  34. Magento Open Source allows Improper Neutralization of Special Elements Used
    Alta · 9.1 CVE-2023-38208 <= 2.0.2 sin corrección
  35. Magento Open Source allows Improper Neutralization of Special Elements Used
    Alta · 9.1 CVE-2023-29297 <= 2.0.2 sin corrección
  36. Magento Open Source allows XML Injection
    Alta · 7.5 CVE-2023-22247 <= 2.0.2 sin corrección
  37. Magento Open Source allows Stored Cross-Site Scripting (Stored XSS)
    Alta · 10.0 CVE-2022-35698 <= 2.0.2 sin corrección
  38. Magento XML Injection vulnerability in the 'City' field
    Alta CVE-2021-36020 <= 2.0.2 sin corrección
  39. Magento XML Injection vulnerability in the Widgets Update Layout
    Alta · 7.2 CVE-2021-36022 <= 2.0.2 sin corrección
  40. Magento is affected by an improper input validation vulnerability
    Alta · 8.8 CVE-2021-36032 <= 2.0.2 sin corrección
  41. Magento has an XML Injection vulnerability
    Crítica CVE-2021-36028 <= 2.0.2 sin corrección
  42. Magento is affected by an improper input validation vulnerability while saving a customer's details
    Crítica · 9.1 CVE-2021-36025 <= 2.0.2 sin corrección
  43. Magento is affected by an os command injection via the Data collection endpoint
    Alta · 7.2 CVE-2021-36024 <= 2.0.2 sin corrección
  44. Magento XML Injection vulnerability in the Widgets Module
    Crítica CVE-2021-36033 <= 2.0.2 sin corrección
  45. Magento allows attackers to alter the price of items
    Alta CVE-2021-36030 <= 2.0.2 sin corrección
  46. Magento improper authorization vulnerability
    Alta · 7.2 CVE-2021-36029 <= 2.0.2 sin corrección
  47. Magento Path Traversal vulnerability via the `theme[preview_image]` parameter
    Alta CVE-2021-36031 <= 2.0.2 sin corrección
  48. Magento affected by a blind SSRF vulnerability in the bundled dotmailer extension
    Alta · 8.0 CVE-2021-36043 <= 2.0.2 sin corrección
  49. Magento executes code via the API File Option Upload Extension
    Crítica · 9.1 CVE-2021-36042 <= 2.0.2 sin corrección
  50. Magento vulnerable to file upload attack
    Alta · 7.2 CVE-2021-36041 <= 2.0.2 sin corrección
  51. Magento affected by remote code execution via a file upload
    Alta · 7.2 CVE-2021-36034 <= 2.0.2 sin corrección
  52. Magento has a file extension restrictions bypass
    Crítica · 9.1 CVE-2021-36040 <= 2.0.2 sin corrección
  53. Magento affected by a server-side denial-of-service using a GraphQL field
    Alta · 7.5 CVE-2021-36044 <= 2.0.2 sin corrección
  54. Magento Violation of Secure Design Principles vulnerability in RMA PDF filename formats
    Alta · 7.5 CVE-2021-28583 <= 2.0.2 sin corrección
  55. Magento stored cross-site scripting (XSS) in the customer address upload feature
    Alta · 8.1 CVE-2021-21030 <= 2.0.2 sin corrección
  56. Magento vulnerable to a file upload restriction bypass
    Crítica · 9.1 CVE-2021-21014 <= 2.0.2 sin corrección
  57. Magento XPath Injection
    Crítica · 9.1 CVE-2021-21025 <= 2.0.2 sin corrección
  58. Magento OS command injection via the WebAPI
    Crítica · 9.1 CVE-2021-21016 <= 2.0.2 sin corrección
  59. Magento 2 Community Edition RCE via Unsafe File Upload
    Crítica · 9.1 CVE-2020-24407 <= 2.0.2 sin corrección
  60. Magento DOM-based Cross-site scripting vulnerability
    Crítica · 9.6 CVE-2020-9691 <= 2.0.2 sin corrección
Mostrar más (13) Mostrando 60 de 73

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.