The REST and SOAP service input processor converted attacker-supplied request data into constructor arguments without restricting the target type, so a crafted API request could have arbitrary classes instantiated from untrusted input. This is the SessionReaper issue and can lead to session takeover and remote code execution without authentication. The fix accepts only simple PHP types and API data objects for constructor arguments and skips anything else.
This vulnerability affects the following application versions:
- Magento 2.3.1
- Magento 2.3.2
- Magento 2.3.2-p1
- Magento 2.3.2-p2
- Magento 2.3.3
- Magento 2.3.3-p1
- Magento 2.3.4
- Magento 2.3.4-p2
- Magento 2.3.5
- Magento 2.3.5-p1
- Magento 2.3.5-p2
- Magento 2.3.6
- Magento 2.3.6-p1
- Magento 2.3.7
- Magento 2.3.7-p1
- Magento 2.3.7-p2
- Magento 2.3.7-p3
- Magento 2.3.7-p4
- Magento 2.4.0
- Magento 2.4.0-p1
- Magento 2.4.1
- Magento 2.4.1-p1
- Magento 2.4.2
- Magento 2.4.2-p1
- Magento 2.4.2-p2
- Magento 2.4.3
- Magento 2.4.3-p1
- Magento 2.4.3-p2
- Magento 2.4.3-p3
- Magento 2.4.4
- Magento 2.4.4-p1
- Magento 2.4.4-p2
- Magento 2.4.4-p3
- Magento 2.4.4-p4
- Magento 2.4.4-p5
- Magento 2.4.4-p6
- Magento 2.4.4-p7
- Magento 2.4.4-p8
- Magento 2.4.4-p9
- Magento 2.4.4-p10
- Magento 2.4.4-p11
- Magento 2.4.4-p12
- Magento 2.4.4-p13
- Magento 2.4.5
- Magento 2.4.5-p1
- Magento 2.4.5-p2
- Magento 2.4.5-p3
- Magento 2.4.5-p4
- Magento 2.4.5-p5
- Magento 2.4.5-p6
- Magento 2.4.5-p7
- Magento 2.4.5-p8
- Magento 2.4.5-p9
- Magento 2.4.5-p10
- Magento 2.4.5-p11
- Magento 2.4.5-p12
- Magento 2.4.5-p13
- Magento 2.4.5-p14
- Magento 2.4.6
- Magento 2.4.6-p1
- Magento 2.4.6-p2
- Magento 2.4.6-p3
- Magento 2.4.6-p4
- Magento 2.4.6-p5
- Magento 2.4.6-p6
- Magento 2.4.6-p7
- Magento 2.4.6-p8
- Magento 2.4.6-p9
- Magento 2.4.6-p10
- Magento 2.4.6-p11
- Magento 2.4.6-p12
- Magento 2.4.7
- Magento 2.4.7-beta1
- Magento 2.4.7-beta2
- Magento 2.4.7-beta3
- Magento 2.4.7-p1
- Magento 2.4.7-p2
- Magento 2.4.7-p3
- Magento 2.4.7-p4
- Magento 2.4.7-p5
- Magento 2.4.7-p6
- Magento 2.4.7-p7
- Magento 2.4.8
- Magento 2.4.8-beta1
- Magento 2.4.8-beta2
- Magento 2.4.8-p1
- Magento 2.4.8-p2
- Magento 2.4.9-alpha1
- Magento 2.4.9-alpha2