CVSS: 7.2EPSS: 0%CPEs: 6EXPL: 0CVE-2019-8119
https://notcve.org/view.php?id=CVE-2019-8119
A remote code execution vulnerability exists in Magento 2.1 prior to 2.1.19, Magento 2.2 prior to 2.2.10, Magento 2.3 prior to 2.3.3. An authenticated admin user with import product privileges can delete files through bulk product import and inject code into XSLT file. The combination of these manipulations can lead to remote code execution. Existe una vulnerabilidad de ejecución de código remota en Magento versiones 2.1 anteriores a la versión 2.1.19, Magento versiones 2.2 anteriores a la versión 2.2.10, Magento versiones 2.3 anteriores a 2.3.3. Un usuario administrador autenticado con privilegios de importación de productos puede eliminar archivos mediante la importación masiva de productos e inyectar código en un archivo XSLT. • https://magento.com/security/patches/magento-2.3.3-and-2.2.10-security-update •
CVSS: 5.3EPSS: 0%CPEs: 8EXPL: 0CVE-2019-8118
https://notcve.org/view.php?id=CVE-2019-8118
Magento 2.1 prior to 2.1.19, Magento 2.2 prior to 2.2.10, Magento 2.3 prior to 2.3.3 uses weak cryptographic function to store the failed login attempts for customer accounts. Magento versiones 2.1 anteriores a la versión 2.1.19, Magento versiones 2.2 anteriores a 2.2.10, Magento versiones 2.3 anteriores a 2.3.3, usa una función criptográfica débil para almacenar los intentos de inicio de sesión fallidos para cuentas de clientes. • https://magento.com/security/patches/magento-2.3.3-and-2.2.10-security-update • CWE-312: Cleartext Storage of Sensitive Information •
CVSS: 5.4EPSS: 0%CPEs: 4EXPL: 0CVE-2019-8117
https://notcve.org/view.php?id=CVE-2019-8117
A stored cross-site scripting (XSS) vulnerability exists in Magento 2.2 prior to 2.2.10, Magento 2.3 prior to 2.3.3 or 2.3.2-p1. An authenticates user can inject arbitrary JavaScript code via product view id specification. Existe una vulnerabilidad de tipo cross-site scripting (XSS) almacenado en Magento versiones 2.2 anteriores a 2.2.10, Magento versiones 2.3 anteriores a 2.3.3 o 2.3.2-p1. Un usuario autenticado puede inyectar código JavaScript arbitrario por medio de la especificación del id de la vista de producto. • https://magento.com/security/patches/magento-2.3.3-and-2.2.10-security-update • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 7.5EPSS: 0%CPEs: 6EXPL: 0CVE-2019-8116
https://notcve.org/view.php?id=CVE-2019-8116
Insecure authentication and session management vulnerability exists in Magento 2.2 prior to 2.2.10, Magento 2.3 prior to 2.3.3 or 2.3.2-p1. An unauthenticated user can leverage a guest session id value following a successful login to gain access to customer account index page. Existe una vulnerabilidad de autenticación y gestión de sesión no segura en Magento versiones 2.2 anteriores a 2.2.10, Magento versiones 2.3 anteriores a 2.3.3 o 2.3.2-p1. Un usuario no autenticado puede aprovechar un valor de id de sesión de invitado seguido de un inicio de sesión con éxito para conseguir acceso a la página de índice de la cuenta del cliente. • https://magento.com/security/patches/magento-2.3.3-and-2.2.10-security-update • CWE-384: Session Fixation •
CVSS: 4.8EPSS: 0%CPEs: 4EXPL: 0CVE-2019-8115
https://notcve.org/view.php?id=CVE-2019-8115
A reflected cross-site scripting (XSS) vulnerability exists in Magento 2.2 prior to 2.2.10, Magento 2.3 prior to 2.3.3 or 2.3.2-p1. An authenticated admin user can inject arbitrary JavaScript code when adding an image for during simple product creation. Existe una vulnerabilidad de tipo cross-site scripting (XSS) reflejado en Magento versiones 2.2 anteriores a 2.2.10, Magento versiones 2.3 anteriores a 2.3.3 o 2.3.2-p1. Un usuario administrador autenticado puede inyectar código JavaScript arbitrario cuando se agrega una imagen durante una creación de producto simple. • https://magento.com/security/patches/magento-2.3.3-and-2.2.10-security-update • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •