Magento Lts

Vulnerabilities related to Magento Lts 20

• High 8.3 magento-ltsに保存型XSSの脆弱性、閲覧者のブラウザで script が実行される恐れ OpenMageのmagento-ltsには、TinyMCEのWYSIWYGエディターが特定のHTMLタグのスクリプトを除去しきれず、保存型のクロスサイトスクリプティングの脆弱性があります。影響を受けるのは20.2.0より前の版で、20.2.0が修正版です。悪意あるimg要素を埋め込まれたコンテンツを閲覧すると、閲覧者のブラウザでスクリプトが実行される恐れがあるため、早めに修正版へ更新してください。 CVE-2023-54423 18:37
• Medium 4.7 OpenMage magento-lts before 20.18.2 Stored XSS via Product Custom Option SVG Upload OpenMage magento-lts before 20.18.2 and 21.0.0-beta1 before 21.0.0-beta3 contains a stored cross-site scripting vulnerability in Mage_Catalog_Model_Product_Option_Type_File, which accepts guest SVG, XHTML, or XML uploads through product File custom options with an empty allowed-extension list. Unaut... CVE-2026-128028 18:34
• Medium 7.4 magento-ltsでAPIユーザー無効化後もセッションが有効のまま残る脆弱性 OpenMageのmagento-ltsに、APIユーザーを無効化してもSOAP・XML-RPCのセッションやOAuthのアクセストークンが使えてしまう脆弱性が見つかりました。影響を受けるのは21.0.0-beta1以降、21.0.0-beta3より前の版で、21.0.0-beta3で修正されています。無効化後も顧客・注文・商品の情報を読み書きされるおそれがあるため、該当する版を使っている場合は早めに修正版へ更新してください。 CVE-2026-128030 18:34
• Medium 4.7 OpenMage magento-lts before 20.18.2 Stored XSS via Dataflow Import Row Errors OpenMage magento-lts before 20.18.2 and 21.0.0-beta1 before 21.0.0-beta3 contains a stored cross-site scripting vulnerability in the Dataflow profile run page, which inserts catalog product import row errors into the page without escaping. Unauthenticated attackers can place markup in the store, typ... CVE-2026-128029 18:34
• Low 5.1 OpenMage magento-lts before 20.18.2 Incorrect Authorization in Admin Controllers ACL OpenMage magento-lts before 20.18.2 and 21.0.0-beta1 before 21.0.0-beta3 contains an incorrect authorization vulnerability because admin controllers' _isAllowed() checks fall back to, or only check, parent ACL resources instead of finer per-action permissions. Authenticated restricted administrators... CVE-2026-128031 18:34
• Medium 5.3 OpenMage magento-lts before 20.18.2 Information Disclosure via Order-Status RSS Feed OpenMage magento-lts before 20.18.2 and 21.0.0-beta1 before 21.0.0-beta3 contains an information disclosure vulnerability in Mage_Rss_Model_Resource_Order::getAllCommentCollection(), which omits the is_visible_on_front filter for invoice, shipment and credit-memo comments. Authenticated customers ca... CVE-2026-128033 18:33
• Medium 5.9 OpenMage magento-lts before 20.18.2 Payment Bypass via Free Payment Method OpenMage magento-lts before 20.18.2 and 21.0.0-beta1 before 21.0.0-beta3 accepts the free (No Payment Information Required) payment method on orders with a non-zero total because the zero-total check runs only when payment data is imported. An API user with cart permissions can select free via cart_... CVE-2026-128032 18:33
• Medium 8.4 magento-ltsの管理画面に保存型クロスサイトスクリプティングの脆弱性 管理者が保存したスクリプトが、ほかの管理者が該当ページを開いたときに実行される脆弱性です。影響を受けるのは、OpenMageのmagento-ltsの20.18.2より前の版と、21.0.0-beta1以上21.0.0-beta3より前の版です。修正版の21.0.0-beta3への更新を進めてください。 CVE-2026-128040 18:33
• High 8.8 OpenMage magento-lts、RSSのレビュー欄から管理者アカウントを乗っ取られる脆弱性 未認証の利用者が投稿したレビューに仕込まれたスクリプトが、管理者が保留中レビューのRSSを開いたときに実行され、管理者アカウントを乗っ取られるおそれがあります。影響を受けるのは21.0.0-beta1以降21.0.0-beta3より前の版と、20.18.2より前の版です。修正版の21.0.0-beta3に更新してください。 CVE-2026-128041 18:33
• Low 3.1 OpenMage magento-lts before 20.19.0 CSRF via PayPal Cancel Return Handlers OpenMage magento-lts before 20.19.0 and 21.0.0-beta1 before 21.0.0-beta3 contains a cross-site request forgery vulnerability in PayPal cancel and decline return handlers that trust only the checkout session without verifying the request came from PayPal. Attackers can lure a shopper into a cross-sit... CVE-2026-128043 18:33
• Low 6.3 OpenMage magento-lts before 20.19.0 Race Condition in Coupon Usage Limits OpenMage magento-lts before 20.19.0 and 21.0.0-beta1 before 21.0.0-beta3 contains a race condition in shopping cart price rule usage limits, because Mage_SalesRule_Model_Validator checks coupon limits without locking and the usage counters are later incremented non-atomically. Unauthenticated attack... CVE-2026-128042 18:33
• High 8.7 magento-ltsのOAuthコールバック検証を回避される脆弱性、管理者や顧客のトークンが盗まれるおそれ OpenMageのmagento-ltsには、OAuth 1.0aのoauth_callback URLの検証が不十分な脆弱性があり、漏えいしたコンシューマーキーとシークレットを持つ攻撃者が、承認した管理者や顧客のリクエストトークンと検証子を別のURLへ送らせるおそれがあります。影響するのは21.0.0-beta1以上21.0.0-beta3未満で、21.0.0-beta3に修正版が公開されています。CVSS v3は7.7、v4は8.7で、コンシューマーキーとシークレットの管理を見直したうえで修正版へ更新してください。 CVE-2026-128044 18:33
• High 9.2 OpenMage magento-lts 20.17.0 before 20.18.2 Unrestricted File Upload RCE via Custom Options OpenMage magento-lts 20.17.0 before 20.18.2 and 21.0.0-beta1 before 21.0.0-beta3 contains an unrestricted file upload vulnerability because the general/file/protected_extensions blocklist omits phar, php8, and phps. Unauthenticated attackers can upload a .phar file through a product File custom opti... CVE-2026-128046 18:33
• Medium 6.9 OpenMage Magento-LTS before 20.18.2 Authorization Bypass via Forgeable RSS Order Key OpenMage Magento-LTS before 20.18.2 and 21.0.0-beta1 before 21.0.0-beta3 contains an authorization bypass in the /rss/order/status feed because its URL key is unsigned Base64-encoded JSON of the order, increment, and customer ids. Unauthenticated attackers can forge keys from enumerated sequential i... CVE-2026-128045 18:33
• High 9.2 OpenMage magento-lts before 20.18.2 Account Takeover via Predictable Confirmation Key OpenMage magento-lts before 20.18.2 and 21.0.0-beta pre-releases before 21.0.0-beta3 generate customer email-confirmation keys with md5(uniqid()) and customer and administrator password-reset tokens with the non-cryptographic uniqHash(). Unauthenticated attackers can brute-force the roughly 20-bit c... CVE-2026-128047 18:33
• Critical 9.4 OpenMage Magento LTSに脆弱性3件、修正版が公開 OpenMage Magento LTSで、APIトークンの奪取、顧客アカウントへの不正ログイン、サーバー上のコード実行につながる脆弱性3件が公表されました。ECサイトの運用者は修正版へ更新し、OAuth連携の設定も確認してください。 CVE-2026-128049 18:33
• Medium 6.9 OpenMage magento-lts before 20.18.2 Information Disclosure via Email Template getConfig OpenMage magento-lts before 20.18.2 and 21.0.0-beta1 before 21.0.0-beta3 lets restricted administrators read decrypted configuration secrets because the store.getConfig email template directive's encrypted-path check missed config.xml-declared paths, case variants of the getConfig method name, and p... CVE-2026-128048 18:33
• Low 4.8 OpenMage magento-lts before 20.18.2 Stored XSS via Product Name in MSRP Popup OpenMage magento-lts before 20.18.2 and 21.0.0-beta1 before 21.0.0-beta3 contains a stored cross-site scripting vulnerability because storefront MSRP/MAP popup and Qty Increments notice templates output product names without proper escaping. Attackers with admin product-edit rights can store a malic... CVE-2026-128051 18:33
• Low 5.1 OpenMage magento-lts before 20.19.0 Block Whitelist Bypass via {{layout}} Directive OpenMage magento-lts before 20.19.0 and 21.0.0-beta1 before 21.0.0-beta3 contains an incorrect authorization vulnerability in the template filter's {{layout}} directive, which renders arbitrary layout handles without enforcing the admin/block whitelist that the {{block}} directive applies. Administr... CVE-2026-128052 18:33
• Medium 4.7 OpenMage magento-lts before 20.18.2 Reflected XSS via Error Pages SCRIPT_NAME OpenMage magento-lts before 20.18.2 and 21.0.0-beta1 before 21.0.0-beta3 contains a reflected cross-site scripting vulnerability in its error pages, which print SCRIPT_NAME-derived URLs built by errors/processor.php without escaping. Unauthenticated attackers can craft links that trigger uncaught ex... CVE-2026-128053 18:33