リモートのWebサーバーで実行されているMagentoアプリケーションは、Magento\Framework\DB\Adapter\Pdo\MysqlクラスのprepareSqlCondition関数に対するユーザー指定の「from」と「to」の入力を適切にサニタイズできないことによるSQLインジェクションの脆弱性の影響を受けます。認証されていないリモートの攻撃者がこれを悪用し、バックエンドデータベースに対し任意のSQLステートメントを実行し、任意のコード実行、データ操作、秘密情報の漏えいなどを行う可能性があります。

検出

Magento 2.2.x < 2.2.8/2.3.x < 2.3.1の認証されていないSQLi

critical Nessus プラグイン ID 123519

変更ログが見つかりません