Podatności Adobe Commerce

Adobe Commerce w wersjach 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejszych jest dotknięty podatnością przechowywanego Cross-Site Scripting (XSS), która może być wykorzystana przez atakującego z wysokimi uprawnieniami do wstrzyknięcia złośliwych skryptów do podatnych pól formularzy. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole. Zakres podatności jest zmieniony.

Adobe Commerce w wersjach 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejszych jest dotknięty podatnością niewłaściwej autoryzacji, która może prowadzić do obejścia zabezpieczeń. Atakujący może wykorzystać tę podatność do ominięcia środków bezpieczeństwa i uzyskania nieautoryzowanego dostępu do zapisu. Eksploatacja wymaga interakcji użytkownika – ofiara musi odwiedzić złośliwie spreparowany URL lub wejść w interakcję z zainfekowaną stroną.

Adobe Commerce w wersjach 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejszych jest dotknięty podatnością przechowywanego Cross-Site Scripting (XSS), która może być wykorzystana przez atakującego z wysokimi uprawnieniami do wstrzyknięcia złośliwych skryptów do podatnych pól formularzy. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole. Zakres podatności jest zmieniony.

Adobe Commerce w wersjach 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejszych jest dotknięty podatnością zależności od podatnego komponentu zewnętrznego, co może prowadzić do odmowy usługi. Atakujący może wykorzystać tę podatność do awarii aplikacji, powodując warunek odmowy usługi. Eksploatacja nie wymaga interakcji użytkownika.

Wersje Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejsze są podatne na lukę typu 'Path Traversal', która umożliwia nieautoryzowany dostęp do systemu plików. Atakujący z uprawnieniami administratora może odczytywać lub zapisywać pliki poza ograniczonym katalogiem.

Wersje Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejsze są podatne na lukę związaną z zależnością od podatnego komponentu zewnętrznego, co może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę lukę do awarii aplikacji, co skutkuje stanem odmowy usługi.

Wersje Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejsze są podatne na lukę w zakresie niekontrolowanego zużycia zasobów, co może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność do wyczerpania zasobów systemowych.

Wersje Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejsze są podatne na lukę typu Server-Side Request Forgery (SSRF), która może prowadzić do ominięcia zabezpieczeń. Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do danych.

Wersje Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejsze są podatne na lukę w autoryzacji, która może prowadzić do obejścia zabezpieczeń. Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do zapisu.

Wersje Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejsze są podatne na lukę w autoryzacji, która może prowadzić do obejścia zabezpieczeń. Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do zapisu.

Adobe Commerce w wersjach do 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych zawiera podatność na przechodzenie poza katalog (Path Traversal), która może prowadzić do obejścia zabezpieczeń. Atakujący z wysokimi uprawnieniami może uzyskać dostęp do nieautoryzowanych plików lub katalogów poza zamierzonym ograniczonym ścieżką. Eksploatacja nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych ma podatność na nieprawidłową autoryzację, co może prowadzić do obejścia funkcji bezpieczeństwa. Atakujący może ominąć zabezpieczenia i mieć ograniczony wpływ na integralność i dostępność danych. Wykorzystanie zależy od warunków poza kontrolą atakującego i nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach do 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych zawiera podatność na nieprawidłową walidację danych wejściowych, która może prowadzić do obejścia zabezpieczeń z ograniczonym wpływem na integralność. Eksploatacja nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach do 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych zawiera podatność na nieprawidłową autoryzację, która może prowadzić do obejścia zabezpieczeń. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do ominięcia środków bezpieczeństwa i uzyskania ograniczonego nieautoryzowanego dostępu do funkcji. Eksploatacja nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach do 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych zawiera podatność na nieprawidłową autoryzację, która może prowadzić do obejścia zabezpieczeń. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do ominięcia środków bezpieczeństwa i uzyskania ograniczonego nieautoryzowanego dostępu do danych. Eksploatacja nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych jest dotknięty podatnością na przekierowanie URL do niezaufanej witryny (Open Redirect). Atakujący może wykorzystać tę podatność do przekierowania użytkowników na złośliwe strony internetowe. Eksploatacja wymaga interakcji użytkownika.

Adobe Commerce w wersjach 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych ma podatność na SSRF, która może prowadzić do obejścia funkcji bezpieczeństwa. Wysoko uprzywilejowany atakujący może manipulować żądaniami serwera i ominąć kontrolę bezpieczeństwa. Wykorzystanie nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych ma podatność na SSRF, która może prowadzić do obejścia funkcji bezpieczeństwa. Wysoko uprzywilejowany atakujący może manipulować żądaniami serwera i uzyskać dostęp do nieautoryzowanych zasobów. Wykorzystanie nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych jest podatny na przechowywany atak XSS. Nisko uprzywilejowany atakujący może wstrzyknąć złośliwe skrypty do pól formularza. Wykorzystanie wymaga interakcji użytkownika, który musi odwiedzić stronę z podatnym polem.

Adobe Commerce w wersjach 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych jest podatny na przechowywany atak XSS. Wysoko uprzywilejowany atakujący może wstrzyknąć złośliwe skrypty do pól formularza. Wykorzystanie wymaga interakcji użytkownika, który musi odwiedzić stronę z podatnym polem.

Adobe Commerce w wersjach do 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych zawiera podatność na nieprawidłową autoryzację, która może prowadzić do obejścia zabezpieczeń. Atakujący może wykorzystać tę podatność do ominięcia środków bezpieczeństwa i uzyskania ograniczonego nieautoryzowanego dostępu do danych. Eksploatacja nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych ma podatność na nieprawidłową autoryzację, co może prowadzić do obejścia funkcji bezpieczeństwa. Nisko uprzywilejowany atakujący może wykorzystać tę podatność do ominięcia zabezpieczeń i uzyskania ograniczonego nieautoryzowanego dostępu do funkcji. Wykorzystanie nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach do 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 i wcześniejszych zawiera podatność na nieprawidłową walidację danych wejściowych, która może prowadzić do odmowy usługi (DoS). Atakujący może wykorzystać tę podatność, dostarczając specjalnie spreparowane dane, co powoduje ograniczony wpływ na dostępność aplikacji. Eksploatacja nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 i wcześniejszych zawiera podatność nieprawidłowej autoryzacji. Niskouprzywilejowany atakujący może obejść zabezpieczenia i uzyskać dostęp do podwyższonych uprawnień, co zwiększa wpływ na integralność do wysokiego. Eksploatacja nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 i wcześniejszych jest podatny na podatność typu stored Cross-Site Scripting (XSS). Uprawniony atakujący może wstrzyknąć złośliwe skrypty do podatnych pól formularza, które zostaną wykonane w przeglądarce ofiary po odwiedzeniu strony zawierającej podatne pole.

Adobe Commerce w wersjach 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 i wcześniejszych jest dotknięty podatnością nieprawidłowej autoryzacji. Atakujący może wykorzystać tę lukę do obejścia zabezpieczeń i uzyskania nieautoryzowanego dostępu do odczytu. Eksploatacja zależy od warunków poza kontrolą atakującego i nie wymaga interakcji użytkownika.

Adobe Commerce w wersjach 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 i wcześniejszych jest dotknięty podatnością na trwały Cross-Site Scripting (XSS), która może być wykorzystana przez atakującego z wysokimi uprawnieniami do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary, gdy ta odwiedzi stronę zawierającą podatne pole. Udany atak może prowadzić do przejęcia sesji, zwiększając wpływ na poufność i integralność do wysokiego. Wykorzystanie wymaga interakcji użytkownika.

Adobe Commerce w wersjach 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 i wcześniejszych jest dotknięty podatnością nieprawidłowej autoryzacji. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do obejścia środków bezpieczeństwa i utrzymania nieautoryzowanego dostępu. Wykorzystanie nie wymaga interakcji użytkownika.

Wersje Adobe Commerce 2.4.6-p1 (i wcześniejsze), 2.4.5-p3 (i wcześniejsze) oraz 2.4.4-p4 (i wcześniejsze) są podatne na lukę związaną z nieprawidłową autoryzacją, co może prowadzić do obejścia funkcji zabezpieczeń. Atakujący o niskich uprawnieniach może wykorzystać tę podatność do uzyskania dostępu do danych innych użytkowników.

Wersje Adobe Commerce 2.4.6-p1 (i wcześniejsze), 2.4.5-p3 (i wcześniejsze) oraz 2.4.4-p4 (i wcześniejsze) są podatne na atak typu XML Injection (znany również jako Blind XPath Injection), co może prowadzić do nieautoryzowanego odczytu plików systemowych. Wykorzystanie tej podatności nie wymaga interakcji użytkownika.