CVE-2026-42458

ŚrednieCVSS 5.3

Opublikowano: 15/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

W Magento Long Term Support (LTS) przed wersją 20.18.0 występuje podatność reflected XSS w panelu administracyjnym w sekcji System -> Import/Export -> Dataflow - Profiles. Podatność została naprawiona w wersji 20.18.0.

Ocena ryzyka

Atakujący może nakłonić administratora do kliknięcia spreparowanego linku, co pozwoli na wykonanie złośliwego skryptu w jego przeglądarce i potencjalne przejęcie sesji administracyjnej.

Rekomendacja

Zaktualizuj Magento LTS do wersji 20.18.0 lub nowszej. Dodatkowo zaleca się weryfikację linków i unikanie klikania nieznanych odnośników w panelu administracyjnym.

Inne podatności w Magento Long Term Support

CVE-2026-40098Średnie
W Magento Long Term Support (LTS) przed wersją 20.17.0 endpoint dodawania do koszyka z udostępnionej listy życzeń autoryzuje dostęp na podstawie publicznego sharing_code, ale ładuje element listy życzeń po osobnym globalnym wishlist_item_id i nie weryfikuje, czy element należy do udostępnionej listy wskazanej przez ten kod. Pozwala to atakującemu zaimportować element ofiary do własnego koszyka, kopiując prywatne dane opcji niestandardowych, a w przypadku opcji plikowej może dojść do ujawnienia plików między użytkownikami.

Oryginalny opis (angielski, źródło NVD)

Magento Long Term Support (LTS) is an unofficial, community-driven project provides an alternative to the Magento Community Edition e-commerce platform with a high level of backward compatibility. Prior to 20.18.0, there is a reflected XSS vulnerability under admin panel -> System -> Import/Export -> Dataflow - Profiles. This vulnerability is fixed in 20.18.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS