CVSS: 9.1EPSS: 0%CPEs: 6EXPL: 0CVE-2021-36033 – Magento Commerce Widgets Module XML Injection Vulnerability Could Lead To Remote Code Execution
https://notcve.org/view.php?id=CVE-2021-36033
Magento Commerce versions 2.4.2 (and earlier), 2.4.2-p1 (and earlier) and 2.3.7 (and earlier) are affected by an XML Injection vulnerability in the Widgets Module. An attacker with admin privileges can trigger a specially crafted script to achieve remote code execution. Magento Commerce versiones 2.4.2 (y anteriores), versiones 2.4.2-p1 (y anteriores), y versiones 2.3.7 (y anteriores), están afectadas por una vulnerabilidad de inyección XML en el módulo de widgets. Un atacante con privilegios de administrador puede desencadenar un script especialmente diseñado para lograr una ejecución de código remota • https://helpx.adobe.com/security/products/magento/apsb21-64.html • CWE-91: XML Injection (aka Blind XPath Injection) •
CVSS: 6.5EPSS: 0%CPEs: 6EXPL: 0CVE-2021-36037 – Magento Commerce Improper Authorization Vulnerability Could Lead To Information Exposure
https://notcve.org/view.php?id=CVE-2021-36037
Magento Commerce versions 2.4.2 (and earlier), 2.4.2-p1 (and earlier) and 2.3.7 (and earlier) are affected by an improper improper authorization vulnerability. An authenticated attacker could leverage this vulnerability to achieve sensitive information disclosure. Magento Commerce versiones 2.4.2 (y anteriores), versiones 2.4.2-p1 (y anteriores), y versiones 2.3.7 (y anteriores), están afectadas por una vulnerabilidad de autorización inapropiada. Un atacante autenticado podría aprovechar esta vulnerabilidad para lograr una divulgación de información confidencial • https://helpx.adobe.com/security/products/magento/apsb21-64.html • CWE-285: Improper Authorization •
CVSS: 6.5EPSS: 0%CPEs: 6EXPL: 0CVE-2021-36012 – Magento Commerce Gift Card Business Logic Error
https://notcve.org/view.php?id=CVE-2021-36012
Magento Commerce versions 2.4.2 (and earlier), 2.4.2-p1 (and earlier) and 2.3.7 (and earlier) are affected by a business logic error in the placeOrder graphql mutation. An authenticated attacker can leverage this vulnerability to altar the price of an item. Magento Commerce versiones 2.4.2 (y anteriores), versiones 2.4.2-p1 (y anteriores), y versiones 2.3.7 (y anteriores), están afectadas por un error de lógica de negocio en la mutación gráfica placeOrder. Un atacante autenticado puede aprovechar esta vulnerabilidad para alterar el precio de un artículo • https://helpx.adobe.com/security/products/magento/apsb21-64.html • CWE-840: Business Logic Errors •
CVSS: 5.3EPSS: 0%CPEs: 8EXPL: 0CVE-2021-21012 – Magento Commerce Insecure Direct Object Reference Vulnerability Could Lead To Sensitive Information Disclosure
https://notcve.org/view.php?id=CVE-2021-21012
Magento versions 2.4.1 (and earlier), 2.4.0-p1 (and earlier) and 2.3.6 (and earlier) are vulnerable to an insecure direct object vulnerability (IDOR) in the checkout module. Successful exploitation could lead to sensitive information disclosure. Las versiones de Magento 2.4.1 (y anteriores), 2.4.0-p1 (y anteriores) y 2.3.6 (y anteriores) son vulnerables a una vulnerabilidad de objeto directo inseguro (IDOR) en el módulo de pago. Una explotación exitosa podría llevar a la divulgación de información sensible • https://helpx.adobe.com/security/products/magento/apsb21-08.html • CWE-639: Authorization Bypass Through User-Controlled Key •