L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Magento Open Source

avis de vulnérabilité informatique CVE-2016-4010

Magento : six vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Magento.
Produits concernés : Magento EE, Magento CE.
Gravité : 3/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données.
Provenance : client internet.
Nombre de vulnérabilités dans ce bulletin : 6.
Date création : 18/05/2016.
Date révision : 19/05/2016.
Références : APPSEC-1389, APPSEC-1408, APPSEC-1410, APPSEC-1420, APPSEC-1421, APPSEC-1422, CVE-2016-4010, VIGILANCE-VUL-19649.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Magento.

Un attaquant peut utiliser l'API REST/SOAP, afin d'exécuter du code PHP. [grav:3/4; APPSEC-1420, CVE-2016-4010]

Un attaquant peut utiliser une vulnérabilité dans Unauthenticated Reinstallation, afin d'exécuter du code. [grav:3/4; APPSEC-1421]

Un attaquant peut modifier les comptes des autres utilisateurs, afin d'élever ses privilèges. [grav:2/4; APPSEC-1422]

Un attaquant peut provoquer un Cross Site Scripting dans Authorize.net, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; APPSEC-1410]

Un attaquant peut contourner les mesures de sécurité via quote_id_mask, afin d'obtenir des informations sensibles. [grav:2/4; APPSEC-1408]

Un attaquant peut lire les messages d'erreur, afin d'obtenir des informations sensibles. [grav:2/4; APPSEC-1389]
Bulletin Vigil@nce complet... (Essai gratuit)

bulletin de vulnérabilité informatique 19468

Magento SmartWave QuickView : injection SQL

Synthèse de la vulnérabilité

Un attaquant peut provoquer une injection SQL de Magento SmartWave QuickView, afin de lire ou modifier des données.
Produits concernés : Magento EE, Magento CE.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données, effacement de données.
Provenance : client internet.
Date création : 27/04/2016.
Références : VIGILANCE-VUL-19468.

Description de la vulnérabilité

Le produit Magento SmartWave QuickView utilise une base de données.

Cependant, les données provenant de l'utilisateur sont directement insérées dans une requête SQL.

Un attaquant peut donc provoquer une injection SQL de Magento SmartWave QuickView, afin de lire ou modifier des données.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique 19467

Magento MD Quickview : injection SQL

Synthèse de la vulnérabilité

Un attaquant peut provoquer une injection SQL de Magento MD Quickview, afin de lire ou modifier des données.
Produits concernés : Magento EE, Magento CE.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données, effacement de données.
Provenance : client internet.
Date création : 27/04/2016.
Références : VIGILANCE-VUL-19467.

Description de la vulnérabilité

Le produit Magento MD Quickview utilise une base de données.

Cependant, les données provenant de l'utilisateur sont directement insérées dans une requête SQL.

Un attaquant peut donc provoquer une injection SQL de Magento MD Quickview, afin de lire ou modifier des données.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité informatique 19466

Magento Extreme Magento Quickshop : injection SQL

Synthèse de la vulnérabilité

Un attaquant peut provoquer une injection SQL de Magento Extreme Magento Quickshop, afin de lire ou modifier des données.
Produits concernés : Magento EE, Magento CE.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données, effacement de données.
Provenance : client internet.
Date création : 27/04/2016.
Références : VIGILANCE-VUL-19466.

Description de la vulnérabilité

Le produit Magento Extreme Magento Quickshop utilise une base de données.

Cependant, les données provenant de l'utilisateur sont directement insérées dans une requête SQL.

Un attaquant peut donc provoquer une injection SQL de Magento Extreme Magento Quickshop, afin de lire ou modifier des données.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique 19465

Magento Extreme Magento Ajaxcart : injection SQL

Synthèse de la vulnérabilité

Un attaquant peut provoquer une injection SQL de Magento Extreme Magento Ajaxcart, afin de lire ou modifier des données.
Produits concernés : Magento EE, Magento CE.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données, effacement de données.
Provenance : client internet.
Date création : 27/04/2016.
Références : VIGILANCE-VUL-19465.

Description de la vulnérabilité

Le produit Magento Extreme Magento Ajaxcart utilise une base de données.

Cependant, les données provenant de l'utilisateur sont directement insérées dans une requête SQL.

Un attaquant peut donc provoquer une injection SQL de Magento Extreme Magento Ajaxcart, afin de lire ou modifier des données.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité 19272

Magento : cinq vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Magento.
Produits concernés : Magento EE, Magento CE.
Gravité : 2/4.
Conséquences : accès/droits administrateur, accès/droits privilégié, accès/droits utilisateur, accès/droits client, lecture de données.
Provenance : document.
Nombre de vulnérabilités dans ce bulletin : 5.
Date création : 31/03/2016.
Références : VIGILANCE-VUL-19272.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Magento.

Un attaquant peut provoquer un Cross Site Scripting dans Authorize.net, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4]

Un attaquant peut inviter la victime à installer un Language Pack malveillant, afin d'exécuter du code PHP. [grav:2/4]

Un attaquant peut utiliser le API Token, afin de mener un brute force pour deviner un mot de passe. [grav:2/4]

Un attaquant peut contourner les mesures de sécurité dans la Web API, afin d'obtenir des informations sensibles. [grav:2/4]

Un attaquant peut deviner les clés de chiffrement, afin d'obtenir des informations sensibles. [grav:2/4]
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité 18784

Magento : Man-in-the-Middle

Synthèse de la vulnérabilité

Un attaquant peut se positionner en Man-in-the-Middle sur Magento, afin de lire ou modifier des données de la session.
Produits concernés : Magento EE, Magento CE.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données.
Provenance : serveur internet.
Date création : 21/01/2016.
Références : VIGILANCE-VUL-18784.

Description de la vulnérabilité

Le produit Magento utilise le protocole TLS afin de créer des sessions sécurisées.

Cependant, le certificat X.509 et l'identité du service ne sont pas correctement vérifiés.

Un attaquant peut donc se positionner en Man-in-the-Middle sur Magento, afin de lire ou modifier des données de la session.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité 18782

Magento 2 : multiples vulnérabilités

Synthèse de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Magento version 2.
Produits concernés : Magento EE, Magento CE.
Gravité : 2/4.
Conséquences : accès/droits utilisateur, accès/droits client, lecture de données, déni de service du service.
Provenance : client intranet.
Nombre de vulnérabilités dans ce bulletin : 12.
Date création : 21/01/2016.
Références : VIGILANCE-VUL-18782.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Magento version 2.

Un attaquant peut provoquer un Cross Site Scripting dans User Name, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4]

Un attaquant peut contourner les mesures de sécurité dans Block Cache, afin d'obtenir des informations sensibles. [grav:2/4]

Un attaquant peut provoquer un Cross Site Scripting dans Order Comments, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4]

Un attaquant peut provoquer une injection SQL dans Layered Navigation, afin de lire ou modifier des données. [grav:2/4]

Un attaquant peut effectuer un brute-force dans Guest Order View, afin d'élever ses privilèges. [grav:2/4]

Un attaquant peut provoquer un Cross Site Scripting dans Custom Options, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4]

Un attaquant peut contourner les mesures de sécurité dans Reviews, afin d'élever ses privilèges. [grav:2/4]

Un attaquant peut contourner les mesures de sécurité d'un CAPTCHA, afin d'élever ses privilèges. [grav:2/4]

Un attaquant peut provoquer un Cross Site Scripting dans Cookie Header, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4]

Un attaquant peut provoquer un Cross Site Request Forgery dans Delete Items from Cart, afin de forcer la victime à effectuer des opérations. [grav:2/4]

Un attaquant peut injecter du code dans la base, afin d'élever ses privilèges. [grav:1/4]

Un attaquant peut contourner les mesures de sécurité de MaliciousCode Filter, afin d'élever ses privilèges. [grav:2/4]
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité CVE-2016-2212

Magento 1 : multiples vulnérabilités

Synthèse de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Magento version 1.
Produits concernés : Magento EE, Magento CE.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, accès/droits client, lecture de données, déni de service du service.
Provenance : client intranet.
Nombre de vulnérabilités dans ce bulletin : 20.
Date création : 21/01/2016.
Références : CVE-2016-2212, KIS-2016-02, VIGILANCE-VUL-18781.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Magento version 1.

Un attaquant peut provoquer un Cross Site Scripting dans Email Addres, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4]

Un attaquant peut provoquer un Cross Site Scripting dans Order Comments, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4]

Un attaquant peut provoquer un Cross Site Scripting dans Order, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4]

Un attaquant peut effectuer un brute-force dans Guest Order View, afin d'élever ses privilèges. [grav:2/4]

Un attaquant peut contourner les mesures de sécurité dans RSS Feed, afin d'obtenir des informations sensibles. [grav:2/4; CVE-2016-2212, KIS-2016-02]

Un attaquant peut provoquer un Cross Site Request Forgery dans Backend Login Page, afin de forcer la victime à effectuer des opérations. [grav:2/4]

Un attaquant peut uploader un fichier malveillant via Backend, afin par exemple de déposer un Cheval de Troie. [grav:3/4]

Un attaquant peut provoquer un Cross Site Request Forgery dans Login, afin de forcer la victime à effectuer des opérations. [grav:2/4]

Un attaquant peut provoquer une injection Excel Formula dans CSV/XML Export, afin de lire ou modifier des données. [grav:2/4]

Un attaquant peut provoquer un Cross Site Scripting dans Custom Options, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4]

Un attaquant peut contourner les mesures de sécurité dans Reviews, afin d'élever ses privilèges. [grav:2/4]

Un attaquant peut provoquer une erreur fatale dans Email Delivery, afin de mener un déni de service. [grav:2/4]

Un attaquant peut contourner les mesures de sécurité d'un CAPTCHA, afin d'élever ses privilèges. [grav:2/4]

Un attaquant peut contourner les mesures de sécurité dans Authorize.net, afin d'obtenir des informations sensibles. [grav:1/4]

Un attaquant peut provoquer un Cross Site Scripting dans Translation Table, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4]

Un attaquant peut provoquer un Cross Site Request Forgery dans Delete Items from Cart, afin de forcer la victime à effectuer des opérations. [grav:2/4]

Un attaquant peut provoquer un Cross Site Scripting dans Custom Options, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4]

Un attaquant peut utiliser un Serialized String, afin d'exécuter du code. [grav:2/4]

Un attaquant peut provoquer un Cross Site Scripting dans Backend Coupon Entry, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4]

Un attaquant peut injecter du code dans la base, afin d'élever ses privilèges. [grav:1/4]
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité CVE-2015-5161 CVE-2015-8707

Magento CE, EE : multiples vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de Magento CE, EE.
Produits concernés : Magento EE, Magento CE, SUSE Linux Enterprise Desktop, SLES.
Gravité : 3/4.
Conséquences : accès/droits privilégié, accès/droits utilisateur, lecture de données, création/modification de données, effacement de données, déni de service du service.
Provenance : client intranet.
Nombre de vulnérabilités dans ce bulletin : 8.
Date création : 28/10/2015.
Date révision : 30/10/2015.
Références : APPSEC-1034, APPSEC-1057, APPSEC-1063, APPSEC-1079, CVE-2015-5161, CVE-2015-8707, SUPEE-6788, SUSE-SU-2016:1638-1, VIGILANCE-VUL-18200.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Magento CE, EE.

Un attaquant peut contourner les mesures de sécurité dans Custom Admin URL, afin d'élever ses privilèges. [grav:2/4; APPSEC-1034]

Un attaquant peut provoquer une injection SQL, afin de lire ou modifier des données. [grav:2/4; APPSEC-1063]

Un attaquant peut contourner les mesures de sécurité dans Template Processing Method, afin d'obtenir des informations sensibles. [grav:2/4; APPSEC-1057, CVE-2015-8707]

Un attaquant peut uploader un fichier PHP malveillant via Custom Option File, afin par exemple de déposer un Cheval de Troie. [grav:3/4; APPSEC-1079]

Un attaquant peut transmettre des données XML malveillantes via ZendXml à Zend Framework, afin de lire un fichier, de scanner des sites, ou de mener un déni de service (VIGILANCE-VUL-17579). [grav:2/4; CVE-2015-5161]

Un attaquant peut provoquer un Cross Site Scripting persistant, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4]

Un attaquant peut provoquer un Cross Site Request Forgery, afin de forcer la victime à effectuer des opérations. [grav:2/4]

Un attaquant peut employer trois autres vulnérabilités inconnues. [grav:3/4]
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur Magento Open Source :