Boletim de segurança da Adobe

Pesquisar

Última atualização em 4 de mai de 2021 | Também é aplicável a Digital Editions

Atualizações de segurança disponíveis para o Magento | APSB20-59

ID do boletim	Data de publicação	Prioridade
APSB20-59	15 de outubro de 2020	2

Resumo

A Magento lançou atualizações para o Magento Commerce e o Magento Open Source. Essas atualizações resolvem vulnerabilidades de classificação Importante e Crítica. A exploração bem-sucedida poderia levar a uma execução de código arbitrária.

Versões afetadas

Produto	Versão	Plataforma
Magento Commerce	2.3.5-p1 e versões anteriores	Todos
Magento Commerce	2.3.5-p2 e versões anteriores	Todos
Magento Commerce	2.4.0 e versões anteriores	Todos
Magento Open Source	2.3.5-p1 e versões anteriores	Todos
Magento Open Source	2.3.5-p2 e versões anteriores	Todos
Magento Open Source	2.4.0 e versões anteriores	Todos

Solução

A Adobe categoriza essas atualizações com as seguintes classificações de prioridade e recomenda que os usuários atualizem suas instalações para a versão mais recente.

Produto	Versão atualizada	Plataforma	Classificação de prioridade	Notas de versão
Magento Commerce	2.4.1	Todos	2	2.4.1 Commerce
Magento Open Source	2.4.1	Todos	2	2.4.1 Open Source

Magento Commerce	2.3.6	Todos	2	2.3.6 Commerce
Magento Open Source	2.3.6	Todos	2	2.3.6 Open Source

Detalhes da vulnerabilidade

Categoria da vulnerabilidade	Impacto da vulnerabilidade	Severidade	Pré-autenticação?	Privilégios de administrador necessários?	ID de Bug do Magento	Números CVE
Ignorar lista de permissões de upload de arquivos	Execução de código arbitrária	Crítico	Não	Sim	PRODSECBUG-2799	CVE-2020-24407
Injeção SQL	Acesso arbitrário de leitura ou gravação ao banco de dados	Crítico	Não	Sim	PRODSECBUG-2779	CVE-2020-24400
Autorização indevida	Modificação não autorizada da lista de clientes	Importante	Não	Sim	PRODSECBUG-2789	CVE-2020-24402
Invalidação insuficiente da sessão do usuário	Acesso não autorizado a recursos restritos	Importante	Não	Sim	PRODSECBUG-2785	CVE-2020-24401
Autorização indevida	Modificação não autorizada de páginas do Magento CMS	Importante	Não	Sim	PRODSECBUG-2796	CVE-2020-24404
Divulgação de informações confidenciais	Divulgação do caminho raiz do documento	Moderado	Não	Sim	PRODSECBUG-2798	CVE-2020-24406
Criação de script entre sites (XSS armazenado)	Execução arbitrária de JavaScript no navegador	Importante	Sim	Não	PRODSECBUG-2804	CVE-2020-24408
Autorização indevida	Acesso não autorizado a recursos restritos	Importante	Não	Sim	PRODSECBUG-2797	CVE-2020-24405
Autorização indevida	Acesso não autorizado a recursos restritos	Importante	Não	Sim	PRODSECBUG-2791	CVE-2020-24403

Observação:

Pré-autenticação: a vulnerabilidade é explorável sem credenciais.

Privilégios de administrador necessários: a vulnerabilidade só pode ser explorada por um invasor com privilégios administrativos.

Descrições técnicas adicionais dos CVE mencionados neste documento serão disponibilizadas nos sites de MITRE e NVD.

Atualizações das dependências

Dependência	Impacto da vulnerabilidade	Versões afetadas
Upload de arquivo jQuery	Execução de código arbitrária	2.4.0 e versões anteriores
TinyMCE	Execução arbitrária de JavaScript	2.4.0 e versões anteriores

Agradecimentos

A Adobe gostaria de agradecer às seguintes pessoas por relatar os problemas relevantes e por trabalhar com a Adobe para ajudar a proteger os nossos clientes:   