PT-2026-146532
CVE-2026-128049
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
9.0
حرجةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
OpenMage Magento LTS الإصدارات السابقة لـ 20.18.2
OpenMage Magento LTS الإصدارات من 21.0.0-beta1 إلى 21.0.0-beta2
Description
توجد ثغرة تزوير الطلبات عبر المواقع (CSRF) في إجراءات تأكيد OAuth (confirm و confirmSimple) الخاصة بلوحة التحكم والمتجر. تقبل هذه الإجراءات طلبات GET دون التحقق من المتغير
form-key. يمكن للمهاجم الذي يمتلك بيانات اعتماد مستهلك OAuth استدراج مسؤول أو عميل مسجل الدخول لزيارة رابط مصمم خصيصاً، مما يؤدي إلى تفويض رمز طلب المهاجم، والذي يمكن استبداله بعد ذلك عبر نقطة النهاية '/oauth/token' للحصول على رمز وصول دائم لواجهة برمجة تطبيقات REST API مرتبط بحساب الضحية.Recommendations
تحديث OpenMage Magento LTS إلى الإصدار 20.18.2 أو أحدث.
تحديث OpenMage Magento LTS إلى الإصدار 21.0.0-beta3 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾