CVSS: 4.8EPSS: 1%CPEs: 10EXPL: 0CVE-2021-21029 – Magento Commerce Reflected Cross-site Scripting Vulnerability Could Lead To Arbitrary JavaScript Execution
https://notcve.org/view.php?id=CVE-2021-21029
Magento versions 2.4.1 (and earlier), 2.4.0-p1 (and earlier) and 2.3.6 (and earlier) are affected by a Reflected Cross-site Scripting vulnerability via 'file' parameter. Successful exploitation could lead to arbitrary JavaScript execution in the victim's browser. Access to the admin console is required for successful exploitation. Magento versiones 2.4.1 (y anteriores), versiones 2.4.0-p1 (y anteriores) y versiones 2.3.6 (y anteriores), están afectadas por una vulnerabilidad de tipo Cross-site Scripting Reflejado por medio del parámetro "file". Una explotación con éxito podría conllevar a una ejecución arbitraria de JavaScript en el navegador de la víctima. • https://helpx.adobe.com/security/products/magento/apsb21-08.html • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.5EPSS: 0%CPEs: 8EXPL: 0CVE-2020-24404 – Incorrect permissions in Integrations component could lead to unauthorized deletion of cmsPages via REST API
https://notcve.org/view.php?id=CVE-2020-24404
Magento version 2.4.0 and 2.3.5p1 (and earlier) are affected by an incorrect permissions vulnerability within the Integrations component. This vulnerability could be abused by users with permissions to the Pages resource to delete cms pages via the REST API without authorization. Magento versiones 2.4.0 y 2.3.5p1 (y anteriores) están afectadas por una vulnerabilidad de permisos incorrectos dentro del componente Integrations. Esta vulnerabilidad podría ser abusada por usuarios con permisos en el recurso Pages para eliminar páginas cms por medio de la API REST sin autorización • https://helpx.adobe.com/security/products/magento/apsb20-59.html • CWE-285: Improper Authorization •
CVSS: 9.1EPSS: 0%CPEs: 8EXPL: 0CVE-2020-24407 – Arbitrary code execution via file import functionality
https://notcve.org/view.php?id=CVE-2020-24407
Magento versions 2.4.0 and 2.3.5p1 (and earlier) are affected by an unsafe file upload vulnerability that could result in arbitrary code execution. This vulnerability could be abused by authenticated users with administrative permissions to the System/Data and Transfer/Import components. Magento versiones 2.4.0 y 2.3.5p1 (y anteriores) están afectadas por una vulnerabilidad de carga de archivos no segura que podría resultar en una ejecución de código arbitraria. Esta vulnerabilidad podría ser abusada por usuarios autenticados con permisos administrativos para los componentes System/Data y Transfer/Import • https://helpx.adobe.com/security/products/magento/apsb20-59.html • CWE-434: Unrestricted Upload of File with Dangerous Type •
CVSS: 4.3EPSS: 0%CPEs: 4EXPL: 0CVE-2020-24406 – Document root path disclosure on Maintenance page
https://notcve.org/view.php?id=CVE-2020-24406
When in maintenance mode, Magento version 2.4.0 and 2.3.4 (and earlier) are affected by an information disclosure vulnerability that could expose the installation path during build deployments. This information could be helpful to attackers if they are able to identify other exploitable vulnerabilities in the environment. Cuando está en modo de mantenimiento, Magento versiones 2.4.0 y 2.3.4 (y anteriores) están afectadas por una vulnerabilidad de divulgación de información que podría exponer la ruta de instalación durante implementaciones de compilación. Esta información podría ser útil para unos atacantes si pueden identificar otras vulnerabilidades explotables en el entorno • https://helpx.adobe.com/security/products/magento/apsb20-59.html • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •
CVSS: 4.3EPSS: 0%CPEs: 8EXPL: 0CVE-2020-24405 – Incorrect permissions in Inventory module could lead to unauthorized modification of inventory stock data
https://notcve.org/view.php?id=CVE-2020-24405
Magento version 2.4.0 and 2.3.5p1 (and earlier) are affected by an incorrect permissions issue vulnerability in the Inventory module. This vulnerability could be abused by authenticated users to modify inventory stock data without authorization. Magento versiones 2.4.0 y 2.3.5p1 (y anteriores), están afectadas por una vulnerabilidad de problema de permisos incorrectos en el módulo Inventory. Esta vulnerabilidad podría ser abusada por parte de unos usuarios autentificados para modificar los datos de las existencias de los inventarios sin autorización • https://helpx.adobe.com/security/products/magento/apsb20-59.html • CWE-285: Improper Authorization •