Zaloguj się
Deutsch English Español Polski
Wysoka

Unauthenticated crypto and weak IV in Magento\Framework\Encryption

  • Ujawniono: 20.11.2019
  • Aktualizacja: 11.10.2026 12:17

The __construct function in Framework/Encryption/Crypt.php in Magento 2 uses the PHP rand function to generate a random number for the initialization vector, which makes it easier for remote attackers to defeat cryptographic protection mechanisms by guessing the value.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer magento/community-edition >= 2.0, < 2.2.6 2.2.6
Paczka Composer magento/project-community-edition >= 2.0, <= 2.0.2 brak poprawki
Magento (rdzeń) magento/community-edition >= 2.0, < 2.2.6, >= 2.0, <= 2.0.2 2.2.6

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE)
CWE-327
Platforma
Composer, Magento
Paczka
magento/community-edition, magento/project-community-edition
Ujawniono
20.11.2019
Aktualizacja
11.10.2026 12:17

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-h7qw-mxrm-c6h2 - CC BY 4.0

Historia podatności: magento/project-community-edition

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (161) w archiwum
Wszystkich wpisów
161
Pierwsza → ostatnia
11.2019 10.2025
Bez poprawki
160
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 24
  • Wysoka 48
  • Średnia 77
  • Niska 12

Ujawnienia w latach

Istotność:
  1. Unauthenticated crypto and weak IV in Magento\Framework\Encryption ten wpis
    Wysoka · 7.5 CVE-2016-6485 >= 2.0, <= 2.0.2 brak poprawki
  2. Magento vulnerable to stored Cross-Site Scripting (XSS)
    Wysoka · 8.1 CVE-2025-54264 <= 2.0.2 brak poprawki
  3. Magento provides incorrect authorization through a security feature bypass
    Wysoka · 8.1 CVE-2025-54263 <= 2.0.2 brak poprawki
  4. Magento Community Edition Improper Input Validation vulnerability
    Krytyczna · 9.1 Wykorzystywana w atakach CVE-2025-54236 <= 2.0.2 brak poprawki
  5. Magento Cross-Site Request Forgery (CSRF) vulnerability
    Wysoka · 8.1 CVE-2025-49555 <= 2.0.2 brak poprawki
  6. Magento vulnerable to denial of service
    Wysoka · 7.5 CVE-2025-49554 <= 2.0.2 brak poprawki
  7. Magento has incorrect authorization issue that leads to arbitrary file system read
    Wysoka · 7.5 CVE-2025-49556 <= 2.0.2 brak poprawki
  8. Magento Cross-site Scripting vulnerability
    Wysoka · 8.7 CVE-2025-49557 <= 2.0.2 brak poprawki
  9. Magento Improper Authorization leading to security feature bypass
    Wysoka · 8.2 CVE-2025-43585 <= 2.0.2 brak poprawki
  10. Improper Authorization vulnerability in Magento and Adobe Commerce
    Krytyczna · 9.1 CVE-2025-24434 <= 2.0.2 brak poprawki
  11. Magento stored Cross-Site Scripting (XSS) vulnerability
    Wysoka · 8.7 CVE-2025-24438 <= 2.0.2 brak poprawki
  12. Adobe Commerce Path Traversal
    Wysoka · 7.5 CVE-2025-24406 <= 2.0.2 brak poprawki
  13. Adobe Commerce Improper Authorization vulnerability
    Wysoka · 8.2 CVE-2025-24409 <= 2.0.2 brak poprawki
  14. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Wysoka · 8.7 CVE-2025-24417 <= 2.0.2 brak poprawki
  15. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Wysoka · 8.7 CVE-2025-24416 <= 2.0.2 brak poprawki
  16. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Wysoka · 8.7 CVE-2025-24415 <= 2.0.2 brak poprawki
  17. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Wysoka · 8.7 CVE-2025-24414 <= 2.0.2 brak poprawki
  18. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Wysoka · 8.7 CVE-2025-24413 <= 2.0.2 brak poprawki
  19. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Wysoka · 8.7 CVE-2025-24412 <= 2.0.2 brak poprawki
  20. Magento Improper Access Control vulnerability
    Wysoka · 8.1 CVE-2025-24411 <= 2.0.2 brak poprawki
  21. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Wysoka · 8.7 CVE-2025-24410 <= 2.0.2 brak poprawki
  22. Magento Stored Cross-Site Scripting (XSS) vulnerability
    Wysoka · 7.6 CVE-2024-39403 <= 2.0.2 brak poprawki
  23. Magento DOM-based Cross-Site Scripting (XSS) vulnerability
    Wysoka · 8.1 CVE-2024-39400 <= 2.0.2 brak poprawki
  24. Magento Path Traversal vulnerability
    Wysoka · 7.7 CVE-2024-39399 <= 2.0.2 brak poprawki
  25. Magento does not properly restrict excessive authentication attempts
    Wysoka · 7.4 CVE-2024-39398 <= 2.0.2 brak poprawki
  26. Magento OS Command ('OS Command Injection') vulnerability
    Wysoka · 8.4 CVE-2024-39402 <= 2.0.2 brak poprawki
  27. Magento OS Command ('OS Command Injection') vulnerability
    Wysoka · 8.4 CVE-2024-39401 <= 2.0.2 brak poprawki
  28. Magento Open Source allows Improper Input Validation
    Wysoka · 9.0 CVE-2024-20758 <= 2.0.2 brak poprawki
  29. Magento Open Source allows OS Command Injection
    Wysoka · 9.1 CVE-2024-20720 <= 2.0.2 brak poprawki
  30. Magento Open Source allows Cross-Site Scripting (XSS)
    Wysoka · 9.1 CVE-2024-20719 <= 2.0.2 brak poprawki
  31. Magento affected by remote code execution vulnerability in the CMS page scheduled update feature
    Krytyczna · 9.1 CVE-2021-36021 <= 2.0.2 brak poprawki
  32. Magento improper access control vulnerability within Magento's Media Gallery Upload workflow
    Krytyczna · 9.1 CVE-2021-36036 <= 2.0.2 brak poprawki
  33. Magento XML Injection vulnerability in the Widgets Update Layout
    Krytyczna · 9.1 CVE-2021-36023 <= 2.0.2 brak poprawki
  34. Magento Open Source allows Improper Neutralization of Special Elements Used
    Wysoka · 9.1 CVE-2023-38208 <= 2.0.2 brak poprawki
  35. Magento Open Source allows Improper Neutralization of Special Elements Used
    Wysoka · 9.1 CVE-2023-29297 <= 2.0.2 brak poprawki
  36. Magento Open Source allows XML Injection
    Wysoka · 7.5 CVE-2023-22247 <= 2.0.2 brak poprawki
  37. Magento Open Source allows Stored Cross-Site Scripting (Stored XSS)
    Wysoka · 10.0 CVE-2022-35698 <= 2.0.2 brak poprawki
  38. Magento XML Injection vulnerability in the 'City' field
    Wysoka CVE-2021-36020 <= 2.0.2 brak poprawki
  39. Magento XML Injection vulnerability in the Widgets Update Layout
    Wysoka · 7.2 CVE-2021-36022 <= 2.0.2 brak poprawki
  40. Magento is affected by an improper input validation vulnerability
    Wysoka · 8.8 CVE-2021-36032 <= 2.0.2 brak poprawki
  41. Magento has an XML Injection vulnerability
    Krytyczna CVE-2021-36028 <= 2.0.2 brak poprawki
Pokaż więcej (20) Widać 41 z 72

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.