PT-2021-2306 · Adobe · Magento
CVE-2021-21029
·
Publicado
2021-02-09
·
Atualizado
2024-03-06
CVSS v2.0
4.9
Média
| Vetor | AV:N/AC:M/Au:S/C:P/I:P/A:N |
Nome do software vulnerável e versões afetadas
Versões 2.4.1 e anteriores do Magento
Versões 2.4.0-p1 e anteriores do Magento
Versões 2.3.6 e anteriores do Magento
Descrição
O problema está relacionado a uma vulnerabilidade de Cross-site Scripting refletido (XSS) por meio do parâmetro
file. A exploração bem-sucedida pode levar à execução arbitrária de JavaScript no navegador da vítima. É necessário acesso ao console de administração para que a exploração seja bem-sucedida. A vulnerabilidade está associada à falta de proteção da estrutura da página web, o que poderia permitir que um invasor remoto executasse código arbitrário no contexto do usuário atual.Recomendações
Para as versões 2.4.1 e anteriores do Magento, atualize para uma versão que inclua uma correção para este problema.
Para as versões 2.4.0-p1 e anteriores do Magento, atualize para uma versão que inclua uma correção para este problema.
Para as versões 2.3.6 e anteriores do Magento, atualize para uma versão que inclua uma correção para este problema.
Como solução temporária, considere restringir o acesso ao console de administração para minimizar o risco de exploração.
Evite usar o parâmetro
file nos endpoints de API afetados até que o problema seja resolvido.Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Magento