CVE-2022-24093

Adobe Commerce / Magento — RCE przez improper input validation

CVSS 9.1v3.1pub. 2023-09-12upd. 2024-11-21

Adobe Commerce i Magento Open Source w wersjach 2.4.3-p1 i wcześniejszych oraz 2.3.7-p2 i wcześniejszych zawierają podatność na nieprawidłową walidację danych wejściowych. Luka umożliwia uwierzytelnionemu atakującemu zdalne wykonanie dowolnego kodu (RCE) bez interakcji użytkownika.

▸ Pokaż oryginał (EN)

Adobe Commerce versions 2.4.3-p1 (and earlier) and 2.3.7-p2 (and earlier) are affected by an improper input validation vulnerability. Exploitation of this issue does not require user interaction and could result in a post-authentication arbitrary code execution.

🤖 Analiza AI

Jak działa

Podatność wynika z niewystarczającej walidacji danych dostarczanych przez użytkownika (CWE-20). Atakujący, posiadający konto w systemie, może przesłać specjalnie spreparowane dane wejściowe, które nie są odpowiednio weryfikowane przez aplikację. Pozwala to na wykonanie dowolnego kodu po stronie serwera bez konieczności jakiejkolwiek dodatkowej interakcji ze strony innych użytkowników.

Skutki

Skuteczne wykorzystanie luki pozwala uwierzytelnionemu atakującemu na zdalne wykonanie dowolnego kodu (RCE) w kontekście aplikacji, co może prowadzić do pełnego przejęcia kontroli nad serwerem, wycieku danych oraz naruszenia integralności i dostępności systemu.

Mitygacja

Należy zaktualizować Adobe Commerce i Magento Open Source do wersji wskazanych w biuletynie bezpieczeństwa Adobe APSB22-13 (https://helpx.adobe.com/security/products/magento/apsb22-13.html). Zaleca się niezwłoczne zastosowanie dostępnych patchy zgodnie z wytycznymi producenta.