CVE-2026-128049

Nome do Software Vulnerável e Versões Afetadas OpenMage Magento LTS versões anteriores a 20.18.2 OpenMage Magento LTS versões 21.0.0-beta1 até 21.0.0-beta2

Description Um problema de falsificação de solicitação cross-site (CSRF) existe nas ações de confirmação OAuth confirm e confirmSimple do administrador e da loja. Essas ações aceitam solicitações GET sem validar a variável form-key. Um invasor que possua credenciais de consumidor OAuth pode atrair um administrador ou cliente autenticado a visitar uma URL especialmente criada. Essa ação autoriza o token de solicitação do invasor, que pode então ser trocado no endpoint '/oauth/token' por um token de acesso à API REST persistente vinculado à conta da vítima.

Recommendations Atualize o OpenMage Magento LTS para a versão 20.18.2 ou posterior. Atualize o OpenMage Magento LTS para a versão 21.0.0-beta3 ou posterior.