Adobe 安全公告

搜索

上次更新日期： Apr 29, 2021 06:55:09 AM GMT | 同时适用于： Digital Editions

可用于 Magento 的安全更新 | APSB20-22

公告 ID	发布日期	优先级
ASPB20-22	2020 年 4 月 28 日	2

摘要

Magento 发布了 Magento Commerce 和 Open Source 版本的更新。这些更新解决了等级为“严重”、“重要”和“中等”（严重等级）的漏洞。成功利用这些漏洞可能会导致任意代码执行。

注意:

对 Magento 2.2x 的支持于 2019 年 12 月 31 日终止。

Adobe 按照以下优先级将这些更新分类，并建议用户将其安装的软件更新至最新版本。

注意:

Magento Commerce 2.2.12 仅可用于 Commerce 扩展支持客户。

漏洞类别	漏洞影响	严重性	预身份验证？	需要管理员权限？	Magento 错误 ID	CVE 编号
命令注入	任意代码执行	关键	否	是	PRODSECBUG-2707	CVE-2020-9576
存储型跨站点脚本	敏感信息泄漏	重要	是	否	PRODSECBUG-2671	CVE-2020-9577
命令注入	任意代码执行	关键	否	是	PRODSECBUG-2695	CVE-2020-9578
绕过安全风险减轻措施	任意代码执行	关键	不能	是	PRODSECBUG-2696	CVE-2020-9579
绕过安全风险减轻措施	任意代码执行	关键	不能	是	PRODSECBUG-2697	CVE-2020-9580
存储型跨站点脚本	敏感信息泄漏	重要	不能	是	PRODSECBUG-2700	CVE-2020-9581
命令注入	任意代码执行	关键	不能	是	PRODSECBUG-2708	CVE-2020-9582
命令注入	任意代码执行	关键	不能	是	PRODSECBUG-2710	CVE-2020-9583
存储型跨站点脚本	敏感信息泄漏	重要	是	不能	PRODSECBUG-2715	CVE-2020-9584
深度防御安全风险减轻	任意代码执行	中等	不能	是	PRODSECBUG-2541	CVE-2020-9585
深度防御安全风险减轻	未授权访问管理面板	中等	是	是	MPERF-10898	CVE-2020-9591
绕过授权	可能未授权的产品折扣	中等	是	不能	PRODSECBUG-2518	CVE-2020-9587
可观察到的时间差异	绕过签名验证	重要	不能	是	PRODSECBUG-2677	CVE-2020-9588
业务逻辑错误	权限升级	重要	否	是	PRODSECBUG-2722	CVE-2020-9630
绕过安全风险减轻措施	任意代码执行	关键	否	是	PRODSECBUG-2703	CVE-2020-9631
绕过安全风险减轻措施	任意代码执行	关键	否	是	PRODSECBUG-2704	CVE-2020-9632

注意:

1. CVE-2020-9585 在默认安装中得到缓解

2. CVE-2020-9591 仅影响 Magento 1

注意:

预身份验证：无需凭据即可利用此漏洞。

需要管理员权限：该漏洞仅会被具有管理权限的攻击者利用。

Adobe 衷心感谢以下个人和组织，感谢他们报告相关问题并与 Adobe 一起帮助保护我们的客户：

Blaklis（CVE-2020-9576、CVE-2020-9579、CVE-2020-9581、CVE-2020-9582、CVE-2020-9583、CVE-2020-9584）
Flatmoon (CVE-2020-9577)
Y0natan (CVE-2020-9578)
Edgar Boda-Majer (CVE-2020-9580)
Qubitz (CVE-2020-9585)
Magnusg (CVE-2020-9587)
Wasin Sae-ngow (CVE-2020-9588)
Max Chadwick (CVE-2020-9630)

2020 年 5 月 4 日：已删除 CVE-2020-9586 的致谢。

2020 年 5 月 7 日：添加了最初公告因疏忽而遗漏的 CVE-2020-9630。

2020 年 5 月 12 日：添加了最初公告因疏忽而遗漏的 CVE-2020-9631 和 CVE-2020-9632。

登录到您的帐户

[Feedback V2 Badge]