CVE-2024-39397｜Magento Open Source文件上传远程代码执行漏洞
CVE-2024-39397｜Magento Open Source文件上传远程代码执行漏洞
alicy 信安百科 2024-08-25 18:00
0x00 前言
Magento Open Source 是一款由 Adobe 支持的强大的开源电子商务平台，它为开发者和商家提供了一个构建独特在线商店的基础框架。虽然对于寻求全方位电商解决方案的用户，Adobe Commerce是更全面的选择，但Magento Open Source以其灵活性和可扩展性，依然能够满足许多基本的电子商务需求。
0x01 漏洞描述
当使用Apache作为Web服务器时，未经身份验证的威胁者可通过向 /checkout/cart/updateItemOptions/id/{id} 提交恶意 POST 请求，上传恶意文件并导致在服务器上执行任意代码。
0x02 CVE编号
CVE-2024-39397：Magento Open Source文件上传远程代码执行漏洞
CVE-2024-39398：利用此漏洞进行暴力攻击，并可能获得未经授权的帐户访问权限。
0x03 影响版本
Adobe Commerce & Magento Open Source <= 2.4.7-p1
Adobe Commerce & Magento Open Source <= 2.4.6-p6
Adobe Commerce & Magento Open Source <= 2.4.5-p8
Adobe Commerce & Magento Open Source <= 2.4.4-p9
0x04 漏洞详情
https://helpx.adobe.com/security/products/magento/apsb24-61.html
0x05 参考链接
https://helpx.adobe.com/security/products/magento/apsb24-61.html
推荐阅读：
CVE-2024-42009｜Roundcube Webmail跨站脚本漏洞
CVE-2024-40725｜Apache HTTP Server 源代码泄露漏洞（POC）
CVE-2024-21181｜Oracle WebLogic Server远程代码执行漏洞
Ps：国内外安全热点分享，欢迎大家分享、转载，请保证文章的完整性。文章中出现敏感信息和侵权内容，请联系作者删除信息。信息安全任重道远，感谢您的支持
！！！
本公众号的文章及工具仅提供学习参考，由于传播、利用此文档提供的信息而造成任何直接或间接的后果及损害，均由使用者本人负责,本公众号及文章作者不为此承担任何责任。