CVSS: 8.1EPSS: 0%CPEs: 2EXPL: 0CVE-2021-21013 – Magento Commerce Insecure Direct Object Reference Could Lead To Information Disclosure
https://notcve.org/view.php?id=CVE-2021-21013
Magento versions 2.4.1 (and earlier), 2.4.0-p1 (and earlier) and 2.3.6 (and earlier) are vulnerable to an insecure direct object vulnerability (IDOR) in the customer API module. Successful exploitation could lead to sensitive information disclosure and update arbitrary information on another user's account. Las versiones de Magento 2.4.1 (y anteriores), 2.4.0-p1 (y anteriores) y 2.3.6 (y anteriores) son vulnerables a una vulnerabilidad de objeto directo inseguro (IDOR) en el módulo API de cliente. Una explotación exitosa podría llevar a la divulgación de información sensible y a la actualización de información arbitraria en la cuenta de otro usuario • https://helpx.adobe.com/security/products/magento/apsb21-08.html • CWE-639: Authorization Bypass Through User-Controlled Key CWE-863: Incorrect Authorization •
CVSS: 5.5EPSS: 0%CPEs: 8EXPL: 0CVE-2020-24404 – Incorrect permissions in Integrations component could lead to unauthorized deletion of cmsPages via REST API
https://notcve.org/view.php?id=CVE-2020-24404
Magento version 2.4.0 and 2.3.5p1 (and earlier) are affected by an incorrect permissions vulnerability within the Integrations component. This vulnerability could be abused by users with permissions to the Pages resource to delete cms pages via the REST API without authorization. Magento versiones 2.4.0 y 2.3.5p1 (y anteriores) están afectadas por una vulnerabilidad de permisos incorrectos dentro del componente Integrations. Esta vulnerabilidad podría ser abusada por usuarios con permisos en el recurso Pages para eliminar páginas cms por medio de la API REST sin autorización • https://helpx.adobe.com/security/products/magento/apsb20-59.html • CWE-285: Improper Authorization •
CVSS: 9.1EPSS: 0%CPEs: 8EXPL: 0CVE-2020-24407 – Arbitrary code execution via file import functionality
https://notcve.org/view.php?id=CVE-2020-24407
Magento versions 2.4.0 and 2.3.5p1 (and earlier) are affected by an unsafe file upload vulnerability that could result in arbitrary code execution. This vulnerability could be abused by authenticated users with administrative permissions to the System/Data and Transfer/Import components. Magento versiones 2.4.0 y 2.3.5p1 (y anteriores) están afectadas por una vulnerabilidad de carga de archivos no segura que podría resultar en una ejecución de código arbitraria. Esta vulnerabilidad podría ser abusada por usuarios autenticados con permisos administrativos para los componentes System/Data y Transfer/Import • https://helpx.adobe.com/security/products/magento/apsb20-59.html • CWE-434: Unrestricted Upload of File with Dangerous Type •
CVSS: 4.3EPSS: 0%CPEs: 4EXPL: 0CVE-2020-24406 – Document root path disclosure on Maintenance page
https://notcve.org/view.php?id=CVE-2020-24406
When in maintenance mode, Magento version 2.4.0 and 2.3.4 (and earlier) are affected by an information disclosure vulnerability that could expose the installation path during build deployments. This information could be helpful to attackers if they are able to identify other exploitable vulnerabilities in the environment. Cuando está en modo de mantenimiento, Magento versiones 2.4.0 y 2.3.4 (y anteriores) están afectadas por una vulnerabilidad de divulgación de información que podría exponer la ruta de instalación durante implementaciones de compilación. Esta información podría ser útil para unos atacantes si pueden identificar otras vulnerabilidades explotables en el entorno • https://helpx.adobe.com/security/products/magento/apsb20-59.html • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •
CVSS: 4.3EPSS: 0%CPEs: 8EXPL: 0CVE-2020-24405 – Incorrect permissions in Inventory module could lead to unauthorized modification of inventory stock data
https://notcve.org/view.php?id=CVE-2020-24405
Magento version 2.4.0 and 2.3.5p1 (and earlier) are affected by an incorrect permissions issue vulnerability in the Inventory module. This vulnerability could be abused by authenticated users to modify inventory stock data without authorization. Magento versiones 2.4.0 y 2.3.5p1 (y anteriores), están afectadas por una vulnerabilidad de problema de permisos incorrectos en el módulo Inventory. Esta vulnerabilidad podría ser abusada por parte de unos usuarios autentificados para modificar los datos de las existencias de los inventarios sin autorización • https://helpx.adobe.com/security/products/magento/apsb20-59.html • CWE-285: Improper Authorization •