Attacker could publish a malicious extension package. When the package was installed by a customer, it could overwrite files on the server. The attacker must first publish a package, and then enticed a customer to install it. The package might contain a malicious load, as well.
Part of patch SUPEE-5994
This vulnerability affects the following application versions:
- Magento 0.1.0-alpha89
- Magento 0.1.0-alpha90
- Magento 0.1.0-alpha91
- Magento 0.1.0-alpha92
- Magento 0.1.0-alpha93
- Magento 0.1.0-alpha94
- Magento 0.1.0-alpha95
- Magento 0.1.0-alpha96
- Magento 0.1.0-alpha97
- Magento 0.1.0-alpha98
- Magento 0.1.0-alpha99
- Magento 0.1.0-alpha100
- Magento 0.1.0-alpha101
- Magento 0.1.0-alpha102
- Magento 0.1.0-alpha103
- Magento 0.1.0-alpha104
- Magento 0.1.0-alpha105
- Magento 0.1.0-alpha106
- Magento 0.1.0-alpha107
- Magento 1.3.1
- Magento 1.3.1.1
- Magento 1.3.2
- Magento 1.3.2.1
- Magento 1.3.2.2
- Magento 1.3.2.3
- Magento 1.3.2.4
- Magento 1.3.3.0
- Magento 1.4.0.0
- Magento 1.4.0.1
- Magento 1.4.1.0
- Magento 1.4.1.1
- Magento 1.4.2.0
- Magento 1.5.0.1
- Magento 1.5.1.0
- Magento 1.6.0.0
- Magento 1.6.1.0
- Magento 1.6.2.0
- Magento 1.7.0.0
- Magento 1.7.0.1
- Magento 1.7.0.2
- Magento 1.8.0.0
- Magento 1.8.1.0
- Magento 1.9.0.0
- Magento 1.9.0.1
- Magento 1.9.1.0
- Magento 1.9.1.1
- Magento 1.9.2.0
- Magento 1.9.2.1
- Magento 1.9.2.2
- Magento 1.9.2.3
- Magento 1.9.2.4
- Magento 1.9.3.0
- Magento 1.9.3.1
- Magento 1.9.3.2
- Magento 1.9.3.3
- Magento 1.9.3.4
- Magento 1.9.3.6
- Magento 1.9.3.7
- Magento 1.9.3.8
- Magento 1.9.3.9
- Magento 1.9.3.10
- Magento 1.9.4.0
- Magento 1.9.4.1
- Magento 1.9.4.2
- Magento 1.9.4.3
- Magento 1.9.4.4
- Magento 1.9.4.5