Adobe Commerce 多种漏洞 (APSB24-61)

critical Nessus 插件 ID 242632

语言：

简介

远程主机上安装的 Adobe Commerce/Magento 开源实例受到多种漏洞的影响。

描述

远程主机上安装的 Adobe Commerce/Magento Open Source 版本属于以下范围之一 2.4.7.0 < 2.4.7-p2 (Adobe Commerce) / 2.4.6.0 < 2.4.6-p7 (Adobe Commerce) / 2.4.5.0 < 2.4.5-p9 (Adobe Commerce) / 0.x < 2.4.4-p10 (Adobe Commerce) / 2.4.7.0 < 2.4.7-p2 (Magento Open Source) / 2.4.6.0 < 2.4.6-p7 (Magento Open Source) / 2.4.5.0 < 2.4.5-p9 (Magento 开源) / 0.x < 2.4.4-p10 (Magento 开源)

因此，它受到 APSB24-21 公告中提及的多个漏洞影响。

- Adobe Commerce 2.4.7-p1、2.4.6-p6、2.4.5-p8、2.4.4-p9 版及更早版本受到无限制上传危险类型文件漏洞的影响可导致攻击者。攻击者可以通过上传恶意文件来利用此漏洞然后在服务器上执行该文件。利用此问题不需要用户交互但攻击复杂性很高并且范围会更改。 (CVE-2024-39397)

- Adobe Commerce 2.4.7-p1、2.4.6-p6、2.4.5-p8、2.4.4-p9 及更早版本受到不当限制过多身份验证尝试漏洞的影响可导致安全功能绕过。攻击者可以利用此漏洞执行暴力破解攻击，并可能获得未经授权的帐户访问权限。利用此问题不需要用户交互，但攻击复杂性很高。 (CVE-2024-39398)

- Adobe Commerce 2.4.7-p1、2.4.6-p6、2.4.5-p8、2.4.4-p9 和更早版本受到对受限目录的路径名称不当限制即“路径遍历”漏洞的影响可导致任意文件系统读取的问题。低权限的攻击者可利用此漏洞来获取对受限目录外的文件和目录的访问权限。若要利用此问题，并不需要用户交互，且范围已改变。（CVE-2024-39399）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。