magento-ltsでAPIユーザー無効化後もセッションが有効のまま残る脆弱性
Summary
OpenMageのmagento-ltsに、APIユーザーを無効化してもSOAP・XML-RPCのセッションやOAuthのアクセストークンが使えてしまう脆弱性が見つかりました。影響を受けるのは21.0.0-beta1以降、21.0.0-beta3より前の版で、21.0.0-beta3で修正されています。無効化後も顧客・注文・商品の情報を読み書きされるおそれがあるため、該当する版を使っている場合は早めに修正版へ更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
OpenMageのmagento-ltsに、APIユーザーを無効化してもSOAP・XML-RPCのセッションやOAuthのアクセストークンが使えてしまう脆弱性が見つかりました。影響を受けるのは21.0.0-beta1以降、21.0.0-beta3より前の版で、21.0.0-beta3で修正されています。無効化後も顧客・注文・商品の情報を読み書きされるおそれがあるため、該当する版を使っている場合は早めに修正版へ更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| OpenMagemagento-lts |
≥ 21.0.0-beta1, < 21.0.0-beta3→ 21.0.0-beta3 |
21.0.0-beta3 |
Original description The description as published by the source.
OpenMage magento-lts before 20.18.2 and 21.0.0-beta1 before 21.0.0-beta3 contains an insufficient session expiration vulnerability because Mage_Api_Model_Session::_renewBySessId() never checks api_user.is_active and REST OAuth authorization never checks whether the admin user is active. Attackers holding an existing SOAP/XML-RPC session or OAuth access token retain API access after deactivation or API key rotation, reading and modifying customer, order and catalog data.
Source: CVE.org (CVE Program・cvelistV5) NVD