CVE-2021-21012: falha de média gravidade em Adobe Magento Commerce
Magento Commerce Insecure Direct Object Reference Vulnerability Could Lead To Sensitive Information Disclosure
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O módulo de checkout do Magento permite que atacantes acessem informações sensíveis de outros clientes manipulando referências de pedidos. O sistema não verifica adequadamente quem deveria visualizar cada informação.
Atacantes autenticados ou não autenticados podem explorar a falha IDOR no módulo de checkout referenciando diretamente identificadores de objetos (IDs de pedidos, dados de clientes) sem verificação de autorização apropriada. A exploração requer conhecimento de identificadores válidos e resulta em acesso não autorizado a informações sensíveis do checkout, incluindo detalhes de clientes e dados de pedidos.
No mesmo produto, das mais perigosas para as menos.