PT-2021-6352 · Adobe · Magento Commerce
CVE-2021-36022
·
Publicado
2021-08-11
·
Atualizado
2022-10-24
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Magento Commerce versões 2.4.2 (e anteriores), 2.4.2-p1 (e anteriores)
Magento Commerce versão 2.3.7 (e anteriores)
Descrição
O problema está relacionado a uma vulnerabilidade de injeção de XML no layout de atualização de widgets do Magento Commerce. Essa vulnerabilidade pode ser explorada por um invasor com privilégios de administrador para acionar um script especialmente criado, potencialmente permitindo a execução remota de código. A vulnerabilidade também está relacionada à falta de medidas para neutralizar elementos especiais usados no comando do sistema operacional.
Recomendações
Para as versões 2.4.2 (e anteriores) e 2.4.2-p1 (e anteriores) do Magento Commerce, atualize para uma versão que corrija a vulnerabilidade de injeção de XML no Widgets Update Layout.
Para a versão 2.3.7 (e anteriores) do Magento Commerce, atualize para uma versão que corrija a vulnerabilidade de injeção de XML no Widgets Update Layout.
Como solução alternativa temporária, considere restringir o acesso ao Widgets Update Layout para minimizar o risco de exploração.
Correção
RCE
Special Elements Injection
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Magento Commerce