Magento arbitrary PHP code execution via the productData parameter

CAO 8.8CVE-2015-6497 · GHSA-j4fq-3fm7-wh5v · Công bố 15/01/2020 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2015-6497 là lỗ hổng mức CAO (CVSS 8.8) ảnh hưởng magento/core, magento (magento).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 7.4%, cao hơn 94.4% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.9.2.1, 1.14.2.1 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
magento/core Packagist	`< 1.9.2.1`	`1.9.2.1`
magento magento	`< 1.14.2.1< 1.9.2.1`	`1.14.2.11.9.2.1`

Mô tả

The create function in app/code/core/Mage/Catalog/Model/Product/Api/V2.php in Magento Community Edition (CE) before 1.9.2.1 and Enterprise Edition (EE) before 1.14.2.1, when used with PHP before 5.4.24 or 5.5.8, allows remote authenticated users to execute arbitrary PHP code via the productData parameter to index.php/api/v2_soap.

Mô tả của NVD

The create function in app/code/core/Mage/Catalog/Model/Product/Api/V2.php in Magento Community Edition (CE) before 1.9.2.1 and Enterprise Edition (EE) before 1.14.2.1, when used with PHP before 5.4.24 or 5.5.8, allows remote authenticated users to execute arbitrary PHP code via the productData parameter to index.php/api/v2_soap.