L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Magento Community Edition

bulletin de vulnérabilité informatique 22878

Magento : multiples vulnérabilités

Synthèse de la vulnérabilité

Produits concernés : Magento EE, Magento CE.
Gravité : 4/4.
Conséquences : accès/droits administrateur, accès/droits privilégié, accès/droits client, lecture de données, création/modification de données.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 01/06/2017.
Références : VIGILANCE-VUL-22878.

Description de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Magento.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité 22432

Magento : Cross Site Request Forgery

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Request Forgery de Magento, afin de forcer la victime à effectuer des opérations.
Produits concernés : Magento EE, Magento CE.
Gravité : 2/4.
Conséquences : accès/droits utilisateur.
Provenance : client internet.
Confiance : source unique (2/5).
Date création : 13/04/2017.
Références : VIGILANCE-VUL-22432.

Description de la vulnérabilité

Le produit Magento dispose d'un service web.

Cependant, l'origine des requêtes n'est pas validée. Elles peuvent par exemple provenir d'une image affichée dans un document HTML.

Un attaquant peut donc provoquer un Cross Site Request Forgery de Magento, afin de forcer la victime à effectuer des opérations.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité CVE-2016-10034

Zend Framework : exécution de code via zend-mail

Synthèse de la vulnérabilité

Produits concernés : Fedora, Magento EE, Magento CE, Zend Framework.
Gravité : 3/4.
Conséquences : accès/droits utilisateur.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 21/12/2016.
Références : APPSEC-1746, CVE-2016-10034, FEDORA-2016-1185de6aa6, FEDORA-2016-a6e72e28e1, VIGILANCE-VUL-21440, ZF2016-04.

Description de la vulnérabilité

Un attaquant peut utiliser une vulnérabilité via zend-mail de Zend Framework, afin d'exécuter du code.
Bulletin Vigil@nce complet.... (Essai gratuit)

avis de vulnérabilité 21394

Magento : obtention d'information par défaut de cloisonnement

Synthèse de la vulnérabilité

Un attaquant peut contourner les restrictions d'accès aux données de Magento, afin d'obtenir des informations personnelles.
Produits concernés : Magento EE, Magento CE.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : client internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 15/12/2016.
Références : VIGILANCE-VUL-21394.

Description de la vulnérabilité

Un site Magento peut héberger plusieurs boutiques.

Cependant, le cloisonnement des boutiques hébergées sur un même site n'est pas correct: un attaquant ayant légitiment accès à des données sur les clients et les commandes d'une boutique peut accéder aux informations de même type pour les autres boutiques hébergées sur le même serveur.

Un attaquant peut donc contourner les restrictions d'accès aux données de Magento, afin d'obtenir des informations personnelles.
Bulletin Vigil@nce complet.... (Essai gratuit)

vulnérabilité informatique 20865

Magento CE/EE 1 : multiples vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Magento CE/EE 1.
Produits concernés : Magento EE, Magento CE.
Gravité : 4/4.
Conséquences : accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données, création/modification de données, effacement de données, déni de service du service.
Provenance : client internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 13/10/2016.
Références : APPSEC-1058, APPSEC-1106, APPSEC-1189, APPSEC-1211, APPSEC-1247, APPSEC-1282, APPSEC-1338, APPSEC-1375, APPSEC-1436, APPSEC-1478, APPSEC-1480, APPSEC-1484, APPSEC-1488, APPSEC-1517, APPSEC-327, APPSEC-666, APPSEC-995, VIGILANCE-VUL-20865.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Magento CE/EE 1.

Un attaquant peut utiliser une vulnérabilité via Checkout, afin d'exécuter du code. [grav:4/4; APPSEC-1484]

Un attaquant peut provoquer une injection SQL via Zend Framework, afin de lire ou modifier des données. [grav:3/4; APPSEC-1480]

Un attaquant peut provoquer un Cross Site Scripting via Invitations, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; APPSEC-1488]

Un attaquant peut contourner les mesures de sécurité via Block Cache, afin d'obtenir des informations sensibles. [grav:3/4; APPSEC-1247]

Un attaquant peut s'authentifier comme un autre client. [grav:3/4; APPSEC-1517]

Un attaquant administrateur peut utiliser une vulnérabilité via import/export, afin d'exécuter du code. [grav:2/4; APPSEC-1375]

Un attaquant peut contourner les restrictions d'accès via Page Cache, afin de lire ou modifier des données. [grav:2/4; APPSEC-1338]

Un attaquant peut provoquer un Cross Site Scripting via URL Processing, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; APPSEC-1436]

Un attaquant peut provoquer un Cross Site Scripting via Categories Management, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; APPSEC-1211]

Un attaquant peut provoquer une erreur fatale via GIF Flooding, afin de mener un déni de service. [grav:2/4; APPSEC-1058]

Un attaquant peut provoquer un Cross Site Scripting via Flash File Uploader, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; APPSEC-666]

Un attaquant peut provoquer un Cross Site Scripting, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; APPSEC-1282]

Un attaquant peut provoquer un Cross Site Request Forgery, afin de forcer la victime à effectuer des opérations. [grav:2/4; APPSEC-327]

Un attaquant peut provoquer un Cross Site Request Forgery via Wishlist, afin de forcer la victime à effectuer des opérations. [grav:2/4; APPSEC-1189]

La session n'expire pas au logout. [grav:2/4; APPSEC-1478]

Un attaquant peut se positionner en Man-in-the-Middle, afin de lire ou modifier des données de la session. [grav:2/4; APPSEC-1106]

Un attaquant peut utiliser une Timing Attack, afin d'obtenir des informations sensibles. [grav:1/4; APPSEC-995]
Bulletin Vigil@nce complet.... (Essai gratuit)

avis de vulnérabilité CVE-2016-10704 CVE-2018-5301

Magento CE/EE 2 : multiples vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Magento CE/EE 2.
Produits concernés : Magento EE, Magento CE.
Gravité : 4/4.
Conséquences : accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données, création/modification de données, effacement de données, déni de service du service.
Provenance : client internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 13/10/2016.
Références : APPSEC-1212, APPSEC-1270, APPSEC-1329, APPSEC-1338, APPSEC-1433, APPSEC-1478, APPSEC-1480, APPSEC-1481, APPSEC-1484, APPSEC-1488, APPSEC-1490, APPSEC-1503, APPSEC-1533, APPSEC-1539, APPSEC-1543, CVE-2016-10704, CVE-2018-5301, VIGILANCE-VUL-20864.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Magento CE/EE 2.

Un attaquant peut provoquer un Cross Site Request Forgery via Mini Cart, afin de forcer la victime à effectuer des opérations. [grav:2/4; APPSEC-1212]

Un attaquant peut contourner les mesures de sécurité via Guest Order, afin d'obtenir des informations sensibles. [grav:3/4; APPSEC-1270]

Un attaquant peut contourner les mesures de sécurité via Maintenance Mode, afin d'obtenir des informations sensibles. [grav:2/4; APPSEC-1329]

Un attaquant peut contourner les restrictions d'accès via Page Cache, afin de lire ou modifier des données. [grav:2/4; APPSEC-1338]

Un attaquant peut provoquer un Cross Site Request Forgery, afin de forcer la victime à effectuer des opérations. [grav:2/4; APPSEC-1433]

La session n'expire pas au logout. [grav:2/4; APPSEC-1478]

Un attaquant peut provoquer une injection SQL via Zend Framework, afin de lire ou modifier des données. [grav:3/4; APPSEC-1480]

Un attaquant peut créer une sauvegarde. [grav:1/4; APPSEC-1481]

Un attaquant peut utiliser une vulnérabilité via Checkout, afin d'exécuter du code. [grav:4/4; APPSEC-1484]

Un attaquant peut provoquer un Cross Site Scripting via Invitations, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; APPSEC-1488]

Un attaquant peut utiliser une vulnérabilité via Local File Inclusion, afin d'exécuter du code. [grav:2/4; APPSEC-1490]

Un attaquant peut provoquer un Cross Site Scripting via Email Templates, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; APPSEC-1503]

Un attaquant peut acheter un objet en changeant son prix. [grav:4/4; APPSEC-1533]

Un attaquant peut provoquer un Cross Site Scripting via Section Loading, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; APPSEC-1539]

Un attaquant peut déloguer l'administrateur, afin de mener un déni de service. [grav:2/4; APPSEC-1543]
Bulletin Vigil@nce complet.... (Essai gratuit)

alerte de vulnérabilité 20041

Magento Community Edition : vulnérabilité

Synthèse de la vulnérabilité

Produits concernés : Magento EE, Magento CE.
Gravité : 3/4.
Conséquences : conséquence inconnue, accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données, création/modification de données, effacement de données, transit de données, déni de service du serveur, déni de service du service, déni de service du client, camouflage.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 07/07/2016.
Références : VIGILANCE-VUL-20041.

Description de la vulnérabilité

Des vulnérabilités de Magento Community Edition ont été annoncées.
Bulletin Vigil@nce complet.... (Essai gratuit)

avis de vulnérabilité informatique CVE-2016-4010

Magento : six vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Magento.
Produits concernés : Magento EE, Magento CE.
Gravité : 3/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données.
Provenance : client internet.
Confiance : confirmé par l'éditeur (5/5).
Date création : 18/05/2016.
Date révision : 19/05/2016.
Références : APPSEC-1389, APPSEC-1408, APPSEC-1410, APPSEC-1420, APPSEC-1421, APPSEC-1422, CVE-2016-4010, VIGILANCE-VUL-19649.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Magento.

Un attaquant peut utiliser l'API REST/SOAP, afin d'exécuter du code PHP. [grav:3/4; APPSEC-1420, CVE-2016-4010]

Un attaquant peut utiliser une vulnérabilité dans Unauthenticated Reinstallation, afin d'exécuter du code. [grav:3/4; APPSEC-1421]

Un attaquant peut modifier les comptes des autres utilisateurs, afin d'élever ses privilèges. [grav:2/4; APPSEC-1422]

Un attaquant peut provoquer un Cross Site Scripting dans Authorize.net, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; APPSEC-1410]

Un attaquant peut contourner les mesures de sécurité via quote_id_mask, afin d'obtenir des informations sensibles. [grav:2/4; APPSEC-1408]

Un attaquant peut lire les messages d'erreur, afin d'obtenir des informations sensibles. [grav:2/4; APPSEC-1389]
Bulletin Vigil@nce complet.... (Essai gratuit)

bulletin de vulnérabilité informatique 19468

Magento SmartWave QuickView : injection SQL

Synthèse de la vulnérabilité

Un attaquant peut provoquer une injection SQL de Magento SmartWave QuickView, afin de lire ou modifier des données.
Produits concernés : Magento EE, Magento CE.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données, effacement de données.
Provenance : client internet.
Confiance : source unique (2/5).
Date création : 27/04/2016.
Références : VIGILANCE-VUL-19468.

Description de la vulnérabilité

Le produit Magento SmartWave QuickView utilise une base de données.

Cependant, les données provenant de l'utilisateur sont directement insérées dans une requête SQL.

Un attaquant peut donc provoquer une injection SQL de Magento SmartWave QuickView, afin de lire ou modifier des données.
Bulletin Vigil@nce complet.... (Essai gratuit)

annonce de vulnérabilité informatique 19467

Magento MD Quickview : injection SQL

Synthèse de la vulnérabilité

Un attaquant peut provoquer une injection SQL de Magento MD Quickview, afin de lire ou modifier des données.
Produits concernés : Magento EE, Magento CE.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données, effacement de données.
Provenance : client internet.
Confiance : source unique (2/5).
Date création : 27/04/2016.
Références : VIGILANCE-VUL-19467.

Description de la vulnérabilité

Le produit Magento MD Quickview utilise une base de données.

Cependant, les données provenant de l'utilisateur sont directement insérées dans une requête SQL.

Un attaquant peut donc provoquer une injection SQL de Magento MD Quickview, afin de lire ou modifier des données.
Bulletin Vigil@nce complet.... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur Magento Community Edition :