CVSS: 7.2EPSS: 0%CPEs: 12EXPL: 0CVE-2021-28584 – Magento Commerce path traversal vulnerability in child theme store creation
https://notcve.org/view.php?id=CVE-2021-28584
Magento versions 2.4.2 (and earlier), 2.4.1-p1 (and earlier) and 2.3.6-p1 (and earlier) are affected by a Path Traversal vulnerability when creating a store with child theme.Successful exploitation could lead to arbitrary file system write by an authenticated attacker. Access to the admin console is required for successful exploitation. Magento versiones 2.4.2 (y anteriores), versiones 2.4.1-p1 (y anteriores) y versiones 2.3.6-p1 (y anteriores), están afectadas por una vulnerabilidad de Salto de Ruta cuando se crea una tienda con child theme. Una explotación con éxito podría conllevar a una escritura arbitraria en el sistema de archivos por parte de un atacante autenticado. Es requerido un acceso a la consola de administración para que una explotación sea exitosa • https://helpx.adobe.com/security/products/magento/apsb21-30.html • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •
CVSS: 5.3EPSS: 0%CPEs: 12EXPL: 0CVE-2021-28585 – Magento Commerce improper input validation in customer customer webapi
https://notcve.org/view.php?id=CVE-2021-28585
Magento versions 2.4.2 (and earlier), 2.4.1-p1 (and earlier) and 2.3.6-p1 (and earlier) are affected by an Improper input validation vulnerability in the New customer WebAPI.Successful exploitation could allow an attacker to send unsolicited spam e-mails. Magento versiones 2.4.2 (y anteriores), versiones 2.4.1-p1 (y anteriores) y versiones 2.3.6-p1 (y anteriores), están afectadas por una vulnerabilidad de comprobación inapropiada de entrada en la WebAPI de nuevos clientes. Una explotación con éxito podría permitir a un atacante enviar correos electrónicos de spam no solicitados • https://helpx.adobe.com/security/products/magento/apsb21-30.html • CWE-20: Improper Input Validation •
CVSS: 7.5EPSS: 0%CPEs: 12EXPL: 0CVE-2021-28583 – Magento Commerce insecure storage of sensitive documentation
https://notcve.org/view.php?id=CVE-2021-28583
Magento versions 2.4.2 (and earlier), 2.4.1-p1 (and earlier) and 2.3.6-p1 (and earlier) are affected by a Violation of Secure Design Principles vulnerability in RMA PDF filename formats. Successful exploitation could allow an attacker to get unauthorized access to restricted resources. Magento versiones 2.4.2 (y anteriores), versiones 2.4.1-p1 (y anteriores) y versiones 2.3.6-p1 (y anteriores), están afectadas por una vulnerabilidad de Violation of Secure Design Principles en los formatos de nombre de archivo RMA PDF. Una explotación con éxito podría permitir a un atacante conseguir acceso no autorizado a recursos restringidos • https://helpx.adobe.com/security/products/magento/apsb21-30.html • CWE-657: Violation of Secure Design Principles •
CVSS: 6.5EPSS: 0%CPEs: 4EXPL: 0CVE-2021-28563 – Magento Commerce improper Authorization via the 'Create Customer' endpoint
https://notcve.org/view.php?id=CVE-2021-28563
Magento versions 2.4.2 (and earlier), 2.4.1-p1 (and earlier) and 2.3.6-p1 (and earlier) are affected by an Improper Authorization vulnerability via the 'Create Customer' endpoint. Successful exploitation could lead to unauthorized modification of customer data by an unauthenticated attacker. Access to the admin console is required for successful exploitation. Magento versiones 2.4.2 (y anteriores), versiones 2.4.1-p1 (y anteriores) y versiones 2.3.6-p1 (y anteriores), están afectadas por una vulnerabilidad de Autorización Inapropiada por medio del endpoint "Create Customer". Una explotación con éxito podría conllevar a una modificación no autorizada de los datos del cliente por parte de un atacante no autenticado. • https://helpx.adobe.com/security/products/magento/apsb21-30.html • CWE-285: Improper Authorization •
CVSS: 6.9EPSS: 0%CPEs: 4EXPL: 0CVE-2021-28556 – Magento Commerce DOM-based cross-site scripting (XSS) could lead to arbitrary javascript execution
https://notcve.org/view.php?id=CVE-2021-28556
Magento versions 2.4.2 (and earlier), 2.4.1-p1 (and earlier) and 2.3.6-p1 (and earlier) are affected by a DOM-based Cross-Site Scripting vulnerability on mage-messages cookies. Successful exploitation could lead to arbitrary JavaScript execution by an unauthenticated attacker. User interaction is required for successful exploitation. Magento versiones 2.4.2 (y anteriores), versiones 2.4.1-p1 (y anteriores) y versiones 2.3.6-p1 (y anteriores), están afectadas por una vulnerabilidad de tipo Cross-Site Scripting basada en el DOM en las cookies de mage-messages. Una explotación con éxito podría conllevar a una ejecución arbitraria de JavaScript por parte de un atacante no autenticado. • https://helpx.adobe.com/security/products/magento/apsb21-30.html • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •