C-Brown

OpenMage magento-lts before 20.18.2 and 21.0.0-beta1 before 21.0.0-beta3 lets restricted administrators read decrypted configuration secrets because the store.getConfig email template directive's encrypted-path check missed config.xml-declared paths, case variants of the getConfig method name, and parent paths. Administrators with Transactional Emails access can preview a crafted template to expose PayPal, payment gateway, and carrier credentials.

Um problema de falsificação de solicitação cross-site (CSRF) existe nas ações de confirmação OAuth confirm e confirmSimple do administrador e da loja. Essas ações aceitam solicitações GET sem validar a variável `form-key`. Um invasor que possua credenciais de consumidor OAuth pode atrair um administrador ou cliente autenticado a visitar uma URL especialmente criada. Essa ação autoriza o token de solicitação do invasor, que pode então ser trocado no endpoint '/oauth/token' por um token de acesso à API REST persistente vinculado à conta da vítima.