Magento Open Source Server-Side Request Forgery (SSRF) vulnerability

CAO 8.8CVE-2024-34111 · BIT-magento-2024-34111 · GHSA-jmqp-r3gg-6jh3 · Công bố 13/06/2024 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2024-34111 là lỗ hổng mức CAO (CVSS 8.8) ảnh hưởng magento/community-edition, commerce (adobe), commerce webhooks (adobe).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.3%, cao hơn 69.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.4.5-p8, 2.4.6-p6, 2.4.4-p9 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
magento/community-edition Packagist	`= 2.4.4= 2.4.5= 2.4.6= 2.4.7≥ 2.4.5-p1, < 2.4.5-p8≥ 2.4.6-p1, < 2.4.6-p6< 2.4.4-p9`	`2.4.5-p82.4.6-p62.4.4-p9`
commerce adobe	`= 2.3.7= 2.4.0= 2.4.1= 2.4.2= 2.4.3= 2.4.4= 2.4.5= 2.4.6`	Chưa có bản vá
commerce webhooks adobe	`≥ 1.2.0, ≤ 1.4.0`	Chưa có bản vá
magento adobe	`= 2.4.4= 2.4.5= 2.4.6= 2.4.7`	Chưa có bản vá

Mô tả

Adobe Commerce versions 2.4.7, 2.4.6-p5, 2.4.5-p7, 2.4.4-p8 and earlier are affected by a Server-Side Request Forgery (SSRF) vulnerability that could result in arbitrary code execution. An attacker could exploit this vulnerability by sending a crafted request to the server, which could then cause the server to execute arbitrary code. Exploitation of this issue does not require user interaction.

Mô tả của NVD

Adobe Commerce versions 2.4.7, 2.4.6-p5, 2.4.5-p7, 2.4.4-p8 and earlier are affected by a Server-Side Request Forgery (SSRF) vulnerability that could lead to arbitrary file system read. A low-privilege authenticated attacker can force the application to make arbitrary requests via injection of arbitrary URLs. Exploitation of this issue does not require user interaction..