magento-ltsの管理画面に保存型クロスサイトスクリプティングの脆弱性
Summary
管理者が保存したスクリプトが、ほかの管理者が該当ページを開いたときに実行される脆弱性です。影響を受けるのは、OpenMageのmagento-ltsの20.18.2より前の版と、21.0.0-beta1以上21.0.0-beta3より前の版です。修正版の21.0.0-beta3への更新を進めてください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
管理者が保存したスクリプトが、ほかの管理者が該当ページを開いたときに実行される脆弱性です。影響を受けるのは、OpenMageのmagento-ltsの20.18.2より前の版と、21.0.0-beta1以上21.0.0-beta3より前の版です。修正版の21.0.0-beta3への更新を進めてください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| OpenMagemagento-lts |
≥ 21.0.0-beta1, < 21.0.0-beta3→ 21.0.0-beta3 |
21.0.0-beta3 |
Original description The description as published by the source.
OpenMage magento-lts before 20.18.2 and 21.0.0-beta1 before 21.0.0-beta3 contains a stored cross-site scripting vulnerability because admin pages render Dataflow profile link variables, tax rate titles, OAuth consumer names, and PayPal certificate filenames without escaping. An administrator restricted to one affected area can store script that runs when another administrator, including a full administrator, opens the page, reading the form key and performing actions with that administrator's privileges.
Source: CVE.org (CVE Program・cvelistV5) NVD