Zaloguj się
Deutsch English Español Polski
Krytyczna

Magento improper access control vulnerability within Magento's Media Gallery Upload workflow

  • Ujawniono: 06.09.2023
  • Aktualizacja: 11.10.2026 12:17

Magento versions 2.4.2 (and earlier), 2.4.2-p1 (and earlier) and 2.3.7 (and earlier) are affected by an improper access control vulnerability within Magento's Media Gallery Upload workflow. By storing a specially crafted file in the website gallery, an authenticated attacker with administrative privilege can gain access to delete the .htaccess file. This could result in the attacker achieving remote code execution.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer magento/community-edition < 2.3.7-p1, >= 2.4.2-p1, < 2.4.2-p2, = 2.3.7, = 2.4.2 2.3.7-p1, 2.4.2-p2
Paczka Composer magento/project-community-edition <= 2.0.2 brak poprawki
Magento (rdzeń) magento/project-community-edition <= 2.0.2, < 2.3.7-p1, >= 2.4.2-p1, < 2.4.2-p2, = 2.3.7, = 2.4.2 2.3.7-p1, 2.4.2-p2

Odnośniki

Ocena CVSS 9.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Słabość (CWE)
CWE-284
Platforma
Composer, Magento
Paczka
magento/community-edition, magento/project-community-edition
Ujawniono
06.09.2023
Aktualizacja
11.10.2026 12:17

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-wqr6-wv6c-p8fx - CC BY 4.0

Historia podatności: magento/project-community-edition

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (161) w archiwum
Wszystkich wpisów
161
Pierwsza → ostatnia
11.2019 10.2025
Bez poprawki
160
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 24
  • Wysoka 48
  • Średnia 77
  • Niska 12

Ujawnienia w latach

Istotność:
  1. Magento vulnerable to stored Cross-Site Scripting (XSS)
    Wysoka · 8.1 CVE-2025-54264 <= 2.0.2 brak poprawki
  2. Magento provides incorrect authorization through a security feature bypass
    Wysoka · 8.1 CVE-2025-54263 <= 2.0.2 brak poprawki
  3. Magento Community Edition Improper Input Validation vulnerability
    Krytyczna · 9.1 Wykorzystywana w atakach CVE-2025-54236 <= 2.0.2 brak poprawki
  4. Magento Cross-Site Request Forgery (CSRF) vulnerability
    Wysoka · 8.1 CVE-2025-49555 <= 2.0.2 brak poprawki
  5. Magento vulnerable to denial of service
    Wysoka · 7.5 CVE-2025-49554 <= 2.0.2 brak poprawki
  6. Magento has incorrect authorization issue that leads to arbitrary file system read
    Wysoka · 7.5 CVE-2025-49556 <= 2.0.2 brak poprawki
  7. Magento Cross-site Scripting vulnerability
    Wysoka · 8.7 CVE-2025-49557 <= 2.0.2 brak poprawki
  8. Magento Improper Authorization leading to security feature bypass
    Wysoka · 8.2 CVE-2025-43585 <= 2.0.2 brak poprawki
  9. Improper Authorization vulnerability in Magento and Adobe Commerce
    Krytyczna · 9.1 CVE-2025-24434 <= 2.0.2 brak poprawki
  10. Magento stored Cross-Site Scripting (XSS) vulnerability
    Wysoka · 8.7 CVE-2025-24438 <= 2.0.2 brak poprawki
  11. Adobe Commerce Path Traversal
    Wysoka · 7.5 CVE-2025-24406 <= 2.0.2 brak poprawki
  12. Adobe Commerce Improper Authorization vulnerability
    Wysoka · 8.2 CVE-2025-24409 <= 2.0.2 brak poprawki
  13. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Wysoka · 8.7 CVE-2025-24417 <= 2.0.2 brak poprawki
  14. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Wysoka · 8.7 CVE-2025-24416 <= 2.0.2 brak poprawki
  15. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Wysoka · 8.7 CVE-2025-24415 <= 2.0.2 brak poprawki
  16. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Wysoka · 8.7 CVE-2025-24414 <= 2.0.2 brak poprawki
  17. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Wysoka · 8.7 CVE-2025-24413 <= 2.0.2 brak poprawki
  18. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Wysoka · 8.7 CVE-2025-24412 <= 2.0.2 brak poprawki
  19. Magento Improper Access Control vulnerability
    Wysoka · 8.1 CVE-2025-24411 <= 2.0.2 brak poprawki
  20. Magento Stored Cross-Site Scripting (XSS) Vulnerability
    Wysoka · 8.7 CVE-2025-24410 <= 2.0.2 brak poprawki
  21. Magento Stored Cross-Site Scripting (XSS) vulnerability
    Wysoka · 7.6 CVE-2024-39403 <= 2.0.2 brak poprawki
  22. Magento DOM-based Cross-Site Scripting (XSS) vulnerability
    Wysoka · 8.1 CVE-2024-39400 <= 2.0.2 brak poprawki
  23. Magento Path Traversal vulnerability
    Wysoka · 7.7 CVE-2024-39399 <= 2.0.2 brak poprawki
  24. Magento does not properly restrict excessive authentication attempts
    Wysoka · 7.4 CVE-2024-39398 <= 2.0.2 brak poprawki
  25. Magento OS Command ('OS Command Injection') vulnerability
    Wysoka · 8.4 CVE-2024-39402 <= 2.0.2 brak poprawki
  26. Magento OS Command ('OS Command Injection') vulnerability
    Wysoka · 8.4 CVE-2024-39401 <= 2.0.2 brak poprawki
  27. Magento Open Source allows Improper Input Validation
    Wysoka · 9.0 CVE-2024-20758 <= 2.0.2 brak poprawki
  28. Magento Open Source allows OS Command Injection
    Wysoka · 9.1 CVE-2024-20720 <= 2.0.2 brak poprawki
  29. Magento Open Source allows Cross-Site Scripting (XSS)
    Wysoka · 9.1 CVE-2024-20719 <= 2.0.2 brak poprawki
  30. Magento affected by remote code execution vulnerability in the CMS page scheduled update feature
    Krytyczna · 9.1 CVE-2021-36021 <= 2.0.2 brak poprawki
  31. Magento improper access control vulnerability within Magento's Media Gallery Upload workflow ten wpis
    Krytyczna · 9.1 CVE-2021-36036 <= 2.0.2 brak poprawki
  32. Magento XML Injection vulnerability in the Widgets Update Layout
    Krytyczna · 9.1 CVE-2021-36023 <= 2.0.2 brak poprawki
  33. Magento Open Source allows Improper Neutralization of Special Elements Used
    Wysoka · 9.1 CVE-2023-38208 <= 2.0.2 brak poprawki
  34. Magento Open Source allows Improper Neutralization of Special Elements Used
    Wysoka · 9.1 CVE-2023-29297 <= 2.0.2 brak poprawki
  35. Magento Open Source allows XML Injection
    Wysoka · 7.5 CVE-2023-22247 <= 2.0.2 brak poprawki
  36. Magento Open Source allows Stored Cross-Site Scripting (Stored XSS)
    Wysoka · 10.0 CVE-2022-35698 <= 2.0.2 brak poprawki
  37. Magento XML Injection vulnerability in the 'City' field
    Wysoka CVE-2021-36020 <= 2.0.2 brak poprawki
  38. Magento XML Injection vulnerability in the Widgets Update Layout
    Wysoka · 7.2 CVE-2021-36022 <= 2.0.2 brak poprawki
  39. Magento is affected by an improper input validation vulnerability
    Wysoka · 8.8 CVE-2021-36032 <= 2.0.2 brak poprawki
  40. Magento has an XML Injection vulnerability
    Krytyczna CVE-2021-36028 <= 2.0.2 brak poprawki
Pokaż więcej (20) Widać 40 z 72

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.