CVSS: 9.8EPSS: 0%CPEs: 6EXPL: 0CVE-2019-8158
https://notcve.org/view.php?id=CVE-2019-8158
An XPath entity injection vulnerability exists in Magento 2.2 prior to 2.2.10, Magento 2.3 prior to 2.3.3 or 2.3.2-p1. An attacker can craft a GET request to page cache block rendering module that gets passed to XML data processing engine without validation. The crafted key/value GET request data allows an attacker to limited access to underlying XML data. Existe una vulnerabilidad de inyección de entidad XPath en Magento versiones 2.2 anteriores a 2.2.10, Magento versiones 2.3 anteriores a 2.3.3 o 2.3.2-p1. Un atacante puede diseñar una petición GET hacia el módulo de renderizado del bloque de caché de página que es pasada al motor de procesamiento de datos XML sin comprobación. • https://magento.com/security/patches/magento-2.3.3-and-2.2.10-security-update • CWE-91: XML Injection (aka Blind XPath Injection) •
CVSS: 5.4EPSS: 0%CPEs: 6EXPL: 0CVE-2019-8157
https://notcve.org/view.php?id=CVE-2019-8157
A stored cross-site scripting (XSS) vulnerability exists in Magento 2.2 prior to 2.2.10, Magento 2.3 prior to 2.3.3 or 2.3.2-p1. An authenticated user can manipulate downloadable link and cause an invocation of error handling that acceses user input without sanitization. Existe una vulnerabilidad de tipo cross-site scripting (XSS) almacenado en Magento versiones 2.2 anteriores a 2.2.10, Magento versiones 2.3 anteriores a 2.3.3 o 2.3.2-p1. Un usuario autenticado puede manipular un enlace descargable y causar una invocación de manejo de errores que acceda a la entrada del usuario sin saneamiento. • https://magento.com/security/patches/magento-2.3.3-and-2.2.10-security-update • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 7.2EPSS: 0%CPEs: 6EXPL: 0CVE-2019-8156
https://notcve.org/view.php?id=CVE-2019-8156
A server-side request forgery (SSRF) vulnerability exists in Magento 2.2 prior to 2.2.10, Magento 2.3 prior to 2.3.3 or 2.3.2-p1. An authenticated user with admin privileges to modify store configurations can manipulate the connector api endpoint to enable remote code execution. Existe una vulnerabilidad de tipo server-side request forgery (SSRF) en Magento versiones 2.2 anteriores a 2.2.10, Magento versiones 2.3 anteriores a 2.3.3 o 2.3.2-p1. Un usuario autenticado con privilegios de administrador para modificar las configuraciones de la tienda puede manipular el endpoint de la API connector para permitir una ejecución de código remota. • https://magento.com/security/patches/magento-2.3.3-and-2.2.10-security-update • CWE-918: Server-Side Request Forgery (SSRF) •
CVSS: 9.0EPSS: 0%CPEs: 6EXPL: 0CVE-2019-8159
https://notcve.org/view.php?id=CVE-2019-8159
A remote code execution vulnerability exists in Magento 2.2 prior to 2.2.10, Magento 2.3 prior to 2.3.3 or 2.3.2-p1. An authenticated user with system data manipulation privileges can execute aribitrary code through arbitrary file deletion and OS command injection. Existe una vulnerabilidad de ejecución de código remota en Magento versiones 2.2 anteriores a la versión 2.2.10, Magento versiones 2.3 anteriores a 2.3.3 o 2.3.2-p1. Un usuario autenticado con privilegios de manipulación de datos de sistema puede ejecutar código arbitrario mediante la eliminación de archivos arbitraria y la inyección de comandos de Sistema Operativo. • https://magento.com/security/patches/magento-2.3.3-and-2.2.10-security-update • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •
CVSS: 6.6EPSS: 0%CPEs: 8EXPL: 0CVE-2019-8232
https://notcve.org/view.php?id=CVE-2019-8232
In Magento prior to 1.9.4.3, Magento prior to 1.14.4.3, Magento 2.2 prior to 2.2.10, and Magento 2.3 prior to 2.3.3 or 2.3.2-p1, an authenticated user with administrative privileges for the import feature can execute arbitrary code through a race condition that allows webserver configuration file modification. En Magento versiones anteriores a la versión 1.9.4.3, Magento versiones anteriores a la versión 1.14.4.3, Magento versiones 2.2 anteriores a 2.2.10 y Magento versiones 2.3 anteriores a 2.3.3 o 2.3.2-p1, un usuario autenticado con privilegios administrativos para la funcionalidad de importación puede ejecutar código arbitrario por medio de una condición de carrera que permite la modificación del archivo de configuración del servidor web. • https://magento.com/security/patches/supee-11219 • CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') •