Magento Open Source allows Incorrect Authorization

高 8.8CVE-2023-38218 · GHSA-rpc7-gf58-v3x2 · 13/10/2023 公開 · 17/06/2026 更新

要点

CVE-2023-38218 は magento/community-edition, magento/project-community-edition, commerce (adobe) に影響する深刻度「高」 (CVSS 8.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.88%（全脆弱性の 59.2% より高い）。
対処：2.4.4-p6, 2.4.5-p5, 2.4.6-p3, 2.4.7-beta2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
magento/community-edition Packagist	`= 2.4.4= 2.4.5= 2.4.6≥ 2.4.4-p1, < 2.4.4-p6≥ 2.4.5-p1, < 2.4.5-p5≥ 2.4.6-p1, < 2.4.6-p3≥ 2.4.7-beta1, < 2.4.7-beta2`	`2.4.4-p62.4.5-p52.4.6-p32.4.7-beta2`
magento/project-community-edition Packagist	`≤ 2.0.2`	修正版なし
commerce adobe	`= 2.3.7= 2.4.0= 2.4.1= 2.4.2= 2.4.3= 2.4.4= 2.4.5= 2.4.6= 2.4.7`	修正版なし
magento adobe	`= 2.4.4= 2.4.5= 2.4.6= 2.4.7`	修正版なし

概要

Adobe Commerce versions 2.4.7-beta1 (and earlier), 2.4.6-p2 (and earlier), 2.4.5-p4 (and earlier) and 2.4.4-p5 (and earlier) are affected by an improper input validation vulnerability. An authenticated attacker can trigger an insecure direct object reference in the V1/customers/me endpoint to achieve information exposure and privilege escalation.

NVD の説明

Adobe Commerce versions 2.4.7-beta1 (and earlier), 2.4.6-p2 (and earlier), 2.4.5-p4 (and earlier) and 2.4.4-p5 (and earlier) are affected by an Incorrect Authorization . An authenticated attacker can exploit this to achieve information exposure and privilege escalation.