Magento Archives - Standoutmedia A/S

Cross-Site Request Forgery in Magento Store Code Resolution

Skrevet den 22. oktober 2026 af i Magento

An unresolvable store code supplied through the ___store request parameter or the store cookie was left in place after Magento fell back to the default store, letting a crafted link pin a victim’s session to an attacker-chosen store scope. The fix clears the store query parameter and deletes the store cookie when the requested store cannot be resolved, and makes the GraphQl store header honour the request parameter instead of trusting the cookie alone.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.9-alpha1

Incorrect Authorization in Magento GraphQl Cart Totals Estimate

Skrevet den 22. oktober 2026 af i Magento

The GraphQl estimateTotals mutation resolved a cart from its masked ID and calculated totals on it without checking that the cart belonged to the caller. A low-privileged attacker who knows or guesses another customer’s masked cart ID could read that cart’s totals and have the supplied address written to it. The fix verifies cart ownership for the current user and store before any totals are calculated.

This vulnerability affects the following application versions:

Magento 2.4.7
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Improper Input Validation in Magento Web API Service Input Processor

Skrevet den 22. oktober 2026 af i Magento

The REST and SOAP service input processor converted attacker-supplied request data into constructor arguments without restricting the target type, so a crafted API request could have arbitrary classes instantiated from untrusted input. This is the SessionReaper issue and can lead to session takeover and remote code execution without authentication. The fix accepts only simple PHP types and API data objects for constructor arguments and skips anything else.

This vulnerability affects the following application versions:

Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Improper Authorization in Magento Admin Shipment Controllers

Skrevet den 17. september 2026 af i Magento

The admin controllers that start, create and save an order shipment checked the broad ‘Magento_Sales::shipment’ ACL resource instead of the narrower ‘Magento_Sales::ship’ one, so an admin user granted only read access to shipments could still create and save them. A low-privileged authenticated admin can therefore bypass the intended permission boundary and disclose minor information. Adobe Commerce and Magento Open Source 2.4.7-p1, 2.4.6-p6, 2.4.5-p8, 2.4.4-p9 and earlier are affected.

This vulnerability affects the following application versions:

Magento 0.42.0-beta4
Magento 0.42.0-beta5
Magento 0.42.0-beta6
Magento 0.42.0-beta7
Magento 0.42.0-beta8
Magento 0.42.0-beta9
Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1

Improper Access Control Vulnerability — Admin Panel Bypass

Skrevet den 4. september 2026 af i Magento

A vulnerability in the access control logic allows a low-privileged attacker to bypass admin authorization checks and gain unauthorized access to restricted administrative functionality. Exploitation requires no user interaction and can lead to a security-feature bypass with potential (though limited) impact on confidentiality.

This vulnerability affects the following application versions:

Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2

Customer Address IDOR / Authorization Bypass in Magento

Skrevet den 11. august 2026 af i Magento

CVE-2026-21359: Magento customer address handling did not verify address ownership before use. getAddressById() (Address/Book.php) and validateDefaultAddress() (CustomerRepository.php) now confirm the address belongs to the current customer, preventing an authenticated user from reading or assigning another customer’s address (IDOR / CWE-863, CVSS 4.7).

This vulnerability affects the following application versions:

Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2
Magento 2.4.9-alpha3

Server-Side Request Forgery via unvalidated FedEx shipping URL configuration

Skrevet den 5. august 2026 af i Magento

The FedEx shipping URL config validated the configured gateway URL against a host allowlist (FedEx.com) but skipped that check when the URL failed to parse, letting an administrator set an arbitrary endpoint and drive the server into issuing requests to attacker-controlled hosts

This vulnerability affects the following application versions:

Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2
Magento 2.4.9-alpha3

Server-Side Request Forgery via unvalidated USPS shipping URL configuration

Skrevet den 5. august 2026 af i Magento

The USPS shipping URL config backend (Magento/Usps/Model/Config/Backend/UspsUrl.php) validated the configured gateway URL against a host allowlist (usps.com / shippingapis.com) but skipped that check when the URL failed to parse, letting an administrator set an arbitrary endpoint and drive the server into issuing requests to attacker-controlled hosts

This vulnerability affects the following application versions:

Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2
Magento 2.4.9-alpha3

Privilege escalation via admin Order Create sidebar + Login-As-Customer role chain

Skrevet den 5. august 2026 af i Magento

Incorrect Authorization leading to privilege escalation. CVSS 6.5 Important (AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N). A low-privileged admin can call the loadblock action on the order create controller with the sidebar POST parameter and trigger functionality (loading customer-related blocks) that requires customer-management privileges. Additionally, when a privileged admin’s role is changed or revoked, any active Login-As-Customer impersonation sessions for that admin remain valid. The fix maps the loadblock+sidebar action to a dedicated ACL resource (Magento_Customer::customer) on the Order Create controller, and updates the User/Role/SaveRole controller to surface the role_assigned_users / role_unassigned_users data needed by a new Login-As-Customer plugin chain (RulesPlugin, User plugin, UserRolePermission validator, DeleteAuthenticationDataForListOfUser) that terminates impersonation sessions for users whose roles or permissions are revoked.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Magento Input Validation bypass in ServiceInputProcessor

Skrevet den 5. august 2026 af i Magento

Magento Input Validation bypass in ServiceInputProcessor

This vulnerability affects the following application versions:

Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2
Magento 2.4.9-alpha3

Stored Cross-Site Scripting in Magento Email and Newsletter Templates

Skrevet den 28. juli 2026 af i Magento

A high-privileged administrator can embed template directives inside external URLs in Magento email and newsletter templates, causing attacker-controlled JavaScript to execute when a crafted template is previewed or rendered in the admin panel. This results in stored cross-site scripting that affects admin users who view the malicious templates.

This vulnerability affects the following application versions:

Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2
Magento 2.4.9-alpha3

Incorrect Authorization in Magento Cart REST API

Skrevet den 7. juli 2026 af i Magento

An authenticated customer can supply a different customer_id in the body of a PUT /V1/carts/mine request to access or modify another customer’s cart data. The fix forces the quote.customer.id parameter to the authenticated user’s ID, preventing this horizontal authorization bypass in the Magento Quote Web API.

This vulnerability affects the following application versions:

Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2
Magento 2.4.9-alpha3

Stored Cross-Site Scripting in Magento WYSIWYG HTML Validator

Skrevet den 7. juli 2026 af i Magento

A stored cross-site scripting (XSS) vulnerability in the WYSIWYG HTML content validator allows a low-privileged user (no admin required) to bypass content filtering and inject malicious event-handler constructs through CMS/catalog HTML content. The fix replaces the weak single-pattern filter and separates body-tag counting from other malicious-pattern detection in the loadHTML guard.

This vulnerability affects the following application versions:

Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2
Magento 2.4.9-alpha3

Incorrect Authorization in Magento Reports Statistics

Skrevet den 23. juni 2026 af i Magento

An overly broad access-control check let admin users without the dedicated statistics-refresh privilege trigger the Reports statistics refresh action. The fix narrows the required ACL resource from Magento_Reports::statistics to the more specific Magento_Reports::statistics_refresh and adds an authorization guard around the refresh form on the admin dashboard. Covers CVE-2026-34645 and CVE-2026-34646 (Adobe APSB26-49).

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2
Magento 2.4.9-alpha3

Uncontrolled Resource Consumption (DoS) in Magento GraphQL Query Processing

Skrevet den 23. juni 2026 af i Magento

Unauthenticated attackers can exhaust server resources (CPU/memory/stack) by sending specially crafted GraphQL queries — e.g. deeply nested inline fragments — to the GraphQL endpoint, causing denial of service. Adobe APSB26-49.

This vulnerability affects the following application versions:

Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2
Magento 2.4.9-alpha3
Magento 2.4.9-beta1

Stored XSS in Inline Translation and Malicious Code filter bypass

Skrevet den 22. juni 2026 af i Magento

Stored Cross-site Scripting (CWE-79) in the Inline Translation system. CVSS 8.7 Critical (AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N). A low-privileged user with translation edit permissions can inject malicious JavaScript into translation strings that are stored and rendered to other users visiting storefront pages

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Stored XSS via javascript URI bypass in JS escaper

Skrevet den 22. juni 2026 af i Magento

_checkHrefValue() now normalizes case (.toLowerCase()) and strips whitespace (.replace(/s/g, ”)) before checking for ‘javascript:’ prefix. Previously, mixed-case bypassed the check.

This vulnerability affects the following application versions:

Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Stored cross-site scripting in order cancellation modal via unescaped order increment ID

Skrevet den 28. maj 2026 af i Magento

The cancel-order-modal.phtml template in the Magento_OrderCancellationUi module rendered $block->getOrder()->getRealOrderId() directly into the DOM using the @noEscape annotation, bypassing Magento’s output escaping layer. While the order increment ID is normally a numeric/zero-padded string generated by Magento and not directly user-controllable, any code path or merchant customization that allowed non-standard characters into this field (custom increment ID generators, third-party modules manipulating order data, or database-level tampering by a lower-privileged actor) could result in raw HTML or JavaScript being injected into the cancel-order modal and executed in the context of the authenticated shopper’s session. The fix routes the value through $escaper->escapeHtml(), aligning the template with the escaping pattern already used elsewhere in the same file and in the Magento_Sales order history templates, and eliminating the XSS sink as a defense-in-depth measure.

This vulnerability affects the following application versions:

Magento 2.4.7
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.8-beta1

Cross-site scripting in admin system configuration file field via unescaped value attribute

Skrevet den 28. maj 2026 af i Magento

The _getDeleteCheckbox() method in MagentoConfigBlockSystemConfigFormFieldFile rendered the stored field value directly into a hidden attribute in the admin system configuration backend without HTML-escaping, allowing attribute-breakout XSS if any path (lower-privileged admin, third-party module, or DB tampering) seeded HTML metacharacters into the value. The fix wraps the value with $this->_escaper->escapeHtml(), neutralizing <, >, &, and ” and closing the sink.

This vulnerability affects the following application versions:

Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.8-beta1

Incorrect ACL check in admin order view allows send-email action under wrong permission

Skrevet den 28. maj 2026 af i Magento

The “Send Order Email” button in MagentoSalesBlockAdminhtmlOrderView is gated by the ACL resource Magento_Sales::emails (“Send Sales Emails”) instead of the dedicated Magento_Sales::email (“Send Order Email”) declared in the Sales module’s acl.xml, so administrators granted only the broader permission can trigger per-order email sends without holding the specific granular permission, breaking least-privilege enforcement

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1

Stored Cross-Site Scripting in Magento Admin Customer Order Items

Skrevet den 28. maj 2026 af i Magento

An authenticated user with low admin privileges can inject malicious scripts via product option values rendered in the customer admin order-items grid. The unescaped output executes in another admin’s browser, enabling session hijacking. Affects Adobe Commerce 2.4.4-p11 / 2.4.5-p10 / 2.4.6-p8 / 2.4.7-p3 and earlier; fixed by escaping the option value via the Escaper service.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.8-beta1

Stored XSS in admin forms

Skrevet den 29. april 2026 af i Magento

Fixes a stored XSS vulnerability in admin forms. A low-privileged attacker could inject malicious JavaScript through form fields – specifically the newsletter template preview and bundle/downloadable item renderers on admin invoice, credit memo, shipment, and order pages – which would execute when another admin user viewed the affected page, potentially leading to privilege escalation or sensitive data disclosure. The patch adds malicious-code filtering to the newsletter preview, tightens the preview iframe sandbox attribute, and switches output escaping to the injected Escaper service in the affected templates.

This vulnerability affects the following application versions:

Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.9-alpha1

Improper access control in admin invoice controllers

Skrevet den 23. december 2025 af i Magento

Several admin invoice controllers lacked explicit ACL (Access Control List) resource definitions, potentially allowing admin users with insufficient privileges to perform invoice operations (create, cancel, capture, void) outside their authorized scope.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2

Cms page design fields ACL bypass via grid inline editor

Skrevet den 23. december 2025 af i Magento

Users with limited CMS editing permissions could modify page design settings (layout, theme) through the admin grid’s inline editing feature, even when their role explicitly denied access to design fields.

This vulnerability affects the following application versions:

Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.8-beta1

Incorrect permissions in UI Data Provider Component

Skrevet den 25. november 2025 af i Magento

An attacker could leverage this vulnerability to bypass security measures and gain unauthorized access leading to a limited impact to confidentiality and a high impact to integrity.

This vulnerability affects the following application versions:

Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2

Product view enhancement

Skrevet den 24. november 2025 af i Magento

Product view enhancement

This vulnerability affects the following application versions:

Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.9-alpha1

Improper Authorization Vulnerability in Rate Export

Skrevet den 11. november 2025 af i Magento

This issue could allow a low-privileged attacker to bypass security measures and modify minor information. No user interaction is required for exploitation.

This vulnerability affects the following application versions:

Magento 0.42.0-beta4
Magento 0.42.0-beta5
Magento 0.42.0-beta6
Magento 0.42.0-beta7
Magento 0.42.0-beta8
Magento 0.42.0-beta9
Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1

Improper authorization in magento report module export functions

Skrevet den 11. november 2025 af i Magento

Certain export actions, such as exportsalescsv, exporttaxcsv, and others, could be accessed without verifying the correct admin ACL permissions.

This could allow a low-privileged user with access to the admin panel to export sensitive sales, tax, shipping, invoiced, refunded, coupon, or bestseller data.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1

Stored XSS in admin product form via unescaped weight unit

Skrevet den 11. november 2025 af i Magento

An unescaped weight unit value was rendered in the admin product form helper, allowing a maliciously crafted weight unit string to be output into the admin UI.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.8-beta1

Stored XSS vulnerability in admin dashboard order grid due to unescaped currency code

Skrevet den 11. november 202517. oktober 2026 af i Magento

An issue was identified where unescaped currency codes were rendered in the admin dashboard order grid. This could allow stored cross-site scripting (XSS) if a malicious value was injected into the currency code.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2
Magento 2.4.9-alpha3
Magento 2.4.9-beta1
Magento 2.4.10-alpha1

Input Validation in admin html export

Skrevet den 28. oktober 2025 af i Magento

This flaw could allow an unauthenticated attacker to exploit improper input validation, potentially leading to a security feature bypass and the ability to modify files outside restricted directories. Exploitation does not require user interaction.

This vulnerability affects the following application versions:

Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.8-beta1

Improper Authorization vulnerability in newsletter module

Skrevet den 28. oktober 2025 af i Magento

Improper Authorization vulnerability available that could result in a security feature bypass. A low-privileged attacker could leverage this vulnerability to bypass security measures to view and edit low-sensitivity information. Exploitation of this issue does not require user interaction.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1

Improper access control in notification block

Skrevet den 30. september 2025 af i Magento

A low‑privileged user can bypass certain security feature controls, possibly accessing or triggering behaviors that should be restricted which allows bypassing “notification block” control due to insufficient authorization or missing permission checks.

This vulnerability affects the following application versions:

Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2

DOM-based xss via integration module configuration

Skrevet den 16. september 2025 af i Magento

An admin interface was vulnerable to dom‑based xss, specifically through fields like the integration module’s URL. Malicious JavaScript could be injected by an authenticated admin and executed in another admin’s browser session, often triggered when the victim clicks a crafted link

This vulnerability affects the following application versions:

Magento 0.42.0-beta8
Magento 0.42.0-beta9
Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1

Improper access control on report module

Skrevet den 16. september 2025 af i Magento

An Improper Access Control vulnerability results in a Security feature bypass. A low-privileged attacker could leverage this vulnerability to bypass security measures and have a low impact on integrity. Exploitation of this issue does not require user interaction.

This vulnerability affects the following application versions:

Magento 0.42.0-beta4
Magento 0.42.0-beta5
Magento 0.42.0-beta6
Magento 0.42.0-beta7
Magento 0.42.0-beta8
Magento 0.42.0-beta9
Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2

Stored cross-site scripting in email template filter

Skrevet den 22. juli 202518. oktober 2025 af i Magento

Stored cross-site scripting vulnerability available that could be abused by a high privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim’s browser when they browse to the page containing the vulnerable field.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2

Improper Access Control in Search and Term view

Skrevet den 22. juli 2025 af i Magento

Improper Access Control in Search and Term view.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2

Improper limitation of a pathname to a restricted directory

Skrevet den 29. april 202518. oktober 2025 af i Magento

An improper restriction of pathname to a restricted directory allows directory traversal. A low-privileged attacker can exploit this flaw to access arbitrary files and directories outside of the intended root path. The attack requires no user interaction and changes the scope of access.

This vulnerability affects the following application versions:

Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1

Improper domain validation for usps url

Skrevet den 1. april 202513. juni 2025 af i Magento

The vulnerability arose from insufficient domain validation, allowing unauthorized URLs to be processed. The revised validation now strictly limits requests to approved domains, significantly reducing the risk of SSRF attacks.

This vulnerability affects the following application versions:

Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2

Incorrect Permission

Skrevet den 18. marts 202518. oktober 2025 af i Magento

This update resolves critical, important and moderate vulnerabilities.  Successful exploitation could lead to arbitrary code execution, arbitrary file system read, security feature bypass and privilege escalation.

This vulnerability affects the following application versions:

Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1

Improper neutralization of input during web page generation (‘Cross-site Scripting’)

Skrevet den 18. marts 202518. oktober 2025 af i Magento

A low-privileged attacker can exploit vulnerable form fields to inject malicious scripts (Cross-Site Scripting – XSS). When a victim accesses the affected page, the malicious JavaScript executes in their browser, potentially allowing the attacker to exfiltrate sensitive information. This vulnerability poses a high confidentiality impact, as the attacker can access session tokens, credentials, or other sensitive data from the victim’s session

CVE number:; CVE-2024-45116

This vulnerability affects the following application versions:

Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2

Improper input validation in product import

Skrevet den 18. marts 202518. oktober 2025 af i Magento

An unauthenticated administrative users can read arbitrary files outside intended directories via PHP filter chains while importing a product.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2

Cross-Site Scripting in chooser in magento widget

Skrevet den 18. marts 202513. juni 2025 af i Magento

A few sections of the app dont sanitize id to prevent xss attacks on getRowClickCallback function.

This vulnerability affects the following application versions:

Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2

Unrestricted Upload of File with Dangerous Type

Skrevet den 21. januar 202518. oktober 2025 af i Magento

Arbitrary code execution is possible if an uploaded file is interpreted and executed as code by the recipient. This is especially true for web-server extensions such as .asp and .php because these file types are often treated as automatically executable, even when file system permissions do not specify execution. For example, in Unix environments, programs typically cannot run unless the execute bit is set, but PHP programs may be executed by the web server without directly invoking them on the operating system.

This vulnerability affects the following application versions:

Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1

Insufficient Authorization Check in Customer Update Process

Skrevet den 15. oktober 202418. oktober 2025 af i Magento

insufficient validation of the customerId and session information could allow unauthorized customer data modifications.

This vulnerability affects the following application versions:

Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3

Resolving Input Parameters for Rest API Requests

Skrevet den 1. oktober 202418. oktober 2025 af i Magento

Input data is not properly validated and sanitized in InputParamsResolver, an attacker could manipulate the input parameters and inject malicious payloads.

This vulnerability affects the following application versions:

Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3

Arbitrary file system read

Skrevet den 20. august 202413. juni 2025 af i Magento

A low-privilege authenticated attacker can force the application to make arbitrary requests via injection of arbitrary URLs.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3

Cross-site Scripting in Magento admin

Skrevet den 6. august 202413. juni 2025 af i Magento

HTML content in various section is not fully escaped in function escapeHtmlWithLinks leading to XSS vulnerability.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3

Unrestricted Upload of File with Dangerous Type

Skrevet den 23. juli 202418. oktober 2025 af i Magento

The product allows the attacker to upload or transfer files of dangerous types that can be automatically processed within the product’s environment.

This vulnerability affects the following application versions:

Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3

Properly validate input before saving.

Skrevet den 14. maj 202418. oktober 2025 af i Magento

Adds new functions to properly validate inputs before saving to backend.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3

Cross-site scripting in form image and email

Skrevet den 14. maj 202413. juni 2025 af i Magento

Esacpes input values in form fields to prevent Cross-site scripting.

This vulnerability affects the following application versions:

Magento 0.42.0-beta8
Magento 0.42.0-beta9
Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3

Uncontrolled Resource Consumption vulnerability that could lead to an application DoS

Skrevet den 16. april 202418. oktober 2025 af i Magento

An Uncontrolled Resource Consumption vulnerability that could lead to an application denial-of-service. A high-privileged attacker could leverage this vulnerability to exhaust system resources, causing the application to slow down or crash. Exploitation of this issue does not require user interaction.

This vulnerability affects the following application versions:

Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.7-beta1
Magento 2.4.7-beta2

OS Command Injection

Skrevet den 16. april 202418. oktober 2025 af i Magento

Improper Neutralization of Special Elements used in an OS Command (‘OS Command Injection’) vulnerability that could lead in arbitrary code execution by an attacker. Exploitation of this issue does not require user interaction.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.7-beta1
Magento 2.4.7-beta2

CSRF vulnerability that could result in a Security feature bypass

Skrevet den 2. april 202413. juni 2025 af i Magento

An attacker could leverage this vulnerability to trick a victim into performing actions they did not intend to do, which could be used to bypass security measures and gain unauthorized access.

This vulnerability affects the following application versions:

Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3

Stored Cross-Site Scripting (XSS) in the admin page

Skrevet den 28. marts 202418. oktober 2025 af i Magento

Malicious JavaScript may be executed in a victim’s browser when they browse to the page containing the vulnerable field, that could be leveraged to gain admin access.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.7-beta1
Magento 2.4.7-beta2

Cross-site scripting in system config

Skrevet den 28. marts 202413. juni 2025 af i Magento

Stored Cross-Site Scripting (XSS) vulnerability that could be abused by a low-privileged attacker to inject malicious scripts into vulnerable form fields.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.7-beta1
Magento 2.4.7-beta2

Improper Access Control

Skrevet den 2. august 202320. november 2024 af i Magento

The confirmation controller adds casting to an Int to prevent improper access control that impact in security bypass.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.5

Incorrect authorization via Qoute GraphQl

Skrevet den 26. juli 202318. oktober 2025 af i Magento

It is not properly checked if the current user is allowed to perform actions with the cart.

This vulnerability affects the following application versions:

Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.6

Information disclosure via the checkout

Skrevet den 24. juli 202318. oktober 2025 af i Magento

The checkout workflow for guests exposes information disclosure via changing the settings of allowing a guest checkout.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.6

SSRF via email filter

Skrevet den 18. juli 202318. oktober 2025 af i Magento

The web server receives a block parameter from an upstream component and retrieves the contents of this URL based on the prefix filter, but it does not sufficiently ensure that the request is being sent to the expected destination.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.6

XSS in the backend via store render

Skrevet den 3. juli 202318. oktober 2025 af i Magento

The back-end system group is not properly protected against an XSS attack, which led to arbitrary code execution.

This vulnerability affects the following application versions:

Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.5
Magento 2.4.5-p1

Improper API authorization and access control

Skrevet den 28. marts 202320. november 2024 af i Magento

The session ID is not properly checked when a customer is updated by ID.

This vulnerability affects the following application versions:

Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.4

XSS injection in widget instance

Skrevet den 5. december 202218. oktober 2025 af i Magento

The widget instance module is not properly sanitized to prevent an XSS attack.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.4

XSS in module checkout

Skrevet den 10. oktober 202218. oktober 2025 af i Magento

Some variables in DefaultConfigProvider are not escaped properly to prevent an XSS attack

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.4

Improper input validation in catalog inventory

Skrevet den 29. august 2022 af i Magento

Some files in catalog inventory module are not escaped correctly to prevent an XSS attack.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2

Improper input validation in reports module

Skrevet den 10. august 202218. oktober 2025 af i Magento

The reports module is not escaped correctly to prevent an XSS attack.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2

Improper input validation in product video module

Skrevet den 3. august 202218. oktober 2025 af i Magento

The product video module is not escaped correctly to prevent an XSS attack.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2

Improper input validation in grouped product module

Skrevet den 18. juli 202218. oktober 2025 af i Magento

The grouped product module is not escaped correctly to prevent an XSS attack.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2

Improper input validation in configurable product module

Skrevet den 14. juli 202218. oktober 2025 af i Magento

The configurable product module is not properly escaped to validate the input type.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2

Improper input validation in module sales

Skrevet den 13. juli 202218. oktober 2025 af i Magento

The module sale is not properly escaped against an XSS attack.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3

Improper input validation in catalog graph-ql module

Skrevet den 4. juli 202218. oktober 2025 af i Magento

The input in the graph-ql module is not properly validated.

This vulnerability affects the following application versions:

Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2

Improper input validation in catalog rule module

Skrevet den 4. juli 202218. oktober 2025 af i Magento

The input in the catalog rule module is not properly validated.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2

Improper session handling in various modules

Skrevet den 16. juni 202218. oktober 2025 af i Magento

The session ID is not properly cleaned after a user changed his email or password.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3

Improper input validation in the advanced pricing import export module

Skrevet den 16. juni 202218. oktober 2025 af i Magento

The input in the advanced pricing import export module is not properly validated.

This vulnerability affects the following application versions:

Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2

Improper input validation in the bundle module

Skrevet den 16. juni 202218. oktober 2025 af i Magento

The input in the bundle module is not properly validated.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2

Improper input validation in the catalog module

Skrevet den 2. juni 202218. oktober 2025 af i Magento

The input in several files of the catalog module is not properly validated.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2

Path traversal in backup module

Skrevet den 23. maj 202218. oktober 2025 af i Magento

Incorrect handling of absolute path can lead to information disclosure via path traversal

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1

Command injection in widget module

Skrevet den 19. maj 202220. november 2024 af i Magento

Widget parameters is not properly checked and validated to prevent payload injection

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1

Improper handling of authorization in backend and catalog modules

Skrevet den 15. marts 202218. oktober 2025 af i Magento

The authorization of the backend module and catalog module are not handled properly which can lead to privilege escalation.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2

Unauthorized modification of customer data in customer assistance

Skrevet den 15. februar 202218. oktober 2025 af i Magento

The shopping assistance is not properly checked against permission access which leads to unauthorized modification of customer data.

This vulnerability affects the following application versions:

Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2

XSS in the widget layout templates

Skrevet den 1. februar 202218. oktober 2025 af i Magento

The widget layout template is not properly escaped against an XSS attack.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1

Missing permission check in the customer module

Skrevet den 27. januar 202218. oktober 2025 af i Magento

Missing check of group ID permissions while creating an account.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2

XSS in the widget template of backend module

Skrevet den 27. januar 202218. oktober 2025 af i Magento

The widget template of the backend module is not properly escaped against an XSS attack.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1

Incorrect file upload handling in filesystems

Skrevet den 3. januar 202218. oktober 2025 af i Magento

File upload in some directories are not properly handled which can lead to file upload bypass.

This vulnerability affects the following application versions:

Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1

XSS in multishipping module

Skrevet den 15. december 202118. oktober 2025 af i Magento

The billing template of the multi-shipping module is not properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1

XSS in several attribute values

Skrevet den 7. december 202118. oktober 2025 af i Magento

Several attribute values aren’t correctly escaped against XSS.

This vulnerability affects the following application versions:

Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2

Missing check if node contains JavaScript

Skrevet den 28. oktober 202118. oktober 2025 af i Magento

Attributes are not checked for JavaScript which can lead to code injection.

This vulnerability affects the following application versions:

Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2

Incorrect validation real path check

Skrevet den 25. oktober 202118. oktober 2025 af i Magento

Incorrect validation for the real path can lead to creating unintended directories.

This vulnerability affects the following application versions:

Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.3.7
Magento 2.3.7-p1
Magento 2.3.7-p2
Magento 2.3.7-p3
Magento 2.3.7-p4
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1

SSRF in the customer logged in redirect

Skrevet den 12. oktober 202118. oktober 2025 af i Magento

The referrer for logged in customer redirect URL is not properly validated.

This vulnerability affects the following application versions:

Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1

XSS in items in the shipping module

Skrevet den 7. oktober 202118. oktober 2025 af i Magento

Items in the shipping module are not correctly escaped and are vulnerable to XSS.

This vulnerability affects the following application versions:

Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1

Path traversal in the theme module

Skrevet den 5. oktober 202118. oktober 2025 af i Magento

The theme module is potentially vulnerable to path traversal due to missing checks for extensions and absolute paths.

This vulnerability affects the following application versions:

Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1

Privilege escalation in customer module

Skrevet den 28. september 202118. oktober 2025 af i Magento

Missing session cleaning in the customer module during change e-mail request operation can lead to unwanted privilege escalation.

This vulnerability affects the following application versions:

Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1

XML injection in widget module

Skrevet den 28. september 202118. oktober 2025 af i Magento

Missing XML validation check for generated layout update in the widget module could lead to arbitrary code injection via XML.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1

Path traversal in file system read class

Skrevet den 27. september 202118. oktober 2025 af i Magento

Missing check for path validation to files and directory could lead to path traversal.

This vulnerability affects the following application versions:

Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.6

Path traversal due to incorrect path validation

Skrevet den 14. september 202118. oktober 2025 af i Magento

It is potentially possible to exploit a path traversal while decoding a HTML element id when managing images through the wysiwyg editor.

This vulnerability affects the following application versions:

Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.3.6

XSS in the store id of the bundle import export module

Skrevet den 9. september 202118. oktober 2025 af i Magento

The store id in the bundle import export module wasn’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2

Unauthorized user access in backend module

Skrevet den 30. august 202118. oktober 2025 af i Magento

The session was not properly validated against unauthorized user access and user’s role wasn’t controlled correctly to limit access to certain modules in backend

This vulnerability affects the following application versions:

Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.4.0

Stored XSS in sitemap module

Skrevet den 30. august 202118. oktober 2025 af i Magento

Various variables in sitemap module was not properly escaped to handle user inputs to prevent stored XSS attack.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.4.0
Magento 2.4.0-p1

Stored XSS in import-export module

Skrevet den 30. august 202118. oktober 2025 af i Magento

The result page of the import-export module was not properly escaped against stored XSS attack.

This vulnerability affects the following application versions:

Magento 0.42.0-beta4
Magento 0.42.0-beta5
Magento 0.42.0-beta6
Magento 0.42.0-beta7
Magento 0.42.0-beta8
Magento 0.42.0-beta9
Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2
Magento 2.4.0

XSS in the item block of shipping module

Skrevet den 25. august 202118. oktober 2025 af i Magento

The item block of the shipping module was not properly escaped to prevent XSS attacks.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1

Secret key verification bypass in the backend module

Skrevet den 20. august 202118. oktober 2025 af i Magento

The backend secret key was not properly checked and validated to prevent signature verification bypass.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1

Added escaping in the column grid renderer of import-export module to prevent XSS

Skrevet den 18. august 202120. november 2024 af i Magento

The column grid renderer of the import-export module was not properly escaped to prevent XSS attacks.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1

Added URL schema validation to prevent URL schema hijacking

Skrevet den 18. august 202120. november 2024 af i Magento

File handling during opening of a file was missing proper validation to avoid URL scheme hijacking.

This vulnerability affects the following application versions:

Magento 2.2.0
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4

Added attribute whitelisting in the escaper framework to prevent arbitrary code execution

Skrevet den 12. august 202120. november 2024 af i Magento

There was no proper whitelisting of attributes to prevent arbitrary code execution.

This vulnerability affects the following application versions:

Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4

Added escaping to the customer import-export module to avoid XSS

Skrevet den 12. august 202120. november 2024 af i Magento

Row data in the customer import-export wasn’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2

Added escaping to country select in the directory module to avoid XSS

Skrevet den 11. august 202120. november 2024 af i Magento

The country select in the directory module wasn’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4

Added escaping to several elements in the sales module to avoid XSS

Skrevet den 11. august 202120. november 2024 af i Magento

Several elements in the sales module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.6
Magento 2.3.6-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1

Added escaping to the bundle module to avoid XSS

Skrevet den 9. august 202120. november 2024 af i Magento

Option element in the bundle module wasn’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

Added escaping to several elements in the user module to avoid XSS

Skrevet den 5. august 202116. maj 2026 af i Magento

Several elements in the user module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Added escaping to several elements in the backend module to avoid XSS

Skrevet den 4. august 202120. november 2024 af i Magento

Several elements in the backend module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

Added escaping to several frontend and admin templates elements of the braintree module to avoid XSS

Skrevet den 3. august 202120. november 2024 af i Magento

Several frontend and admin templates elements of the braintree module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

Added escaping to several admin templates elements in the backend module to avoid XSS

Skrevet den 2. august 202116. maj 2026 af i Magento

Several admin templates elements in the backend module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1

Added escaping to several widget template elements in the backend module to avoid XSS

Skrevet den 2. august 202120. november 2024 af i Magento

Several widget template elements in the backend module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

Added escaping to the authorizenet module to avoid XSS

Skrevet den 27. juli 202120. november 2024 af i Magento

Several templates for the authorizenet module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

Added escaping to several elements in the admin notification module to avoid XSS

Skrevet den 22. juli 202116. maj 2026 af i Magento

Several elements in the admin notification module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1

Added escaping to admin templates for the catalog module to avoid XSS

Skrevet den 21. juli 202120. november 2024 af i Magento

Several admin templates for the catalog module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

Added escaping to frontend and admin elements in the catalog module to avoid XSS

Skrevet den 20. juli 202116. maj 2026 af i Magento

Elements in the frontend and admin of the catalog module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1

Added escaping to several elements in the configurable module to avoid XSS

Skrevet den 19. juli 202120. november 2024 af i Magento

Several elements in the configurable module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1

Added escaping to elements in the frontend templates for the catalog module to avoid XSS

Skrevet den 19. juli 202116. maj 2026 af i Magento

Elements in the frontend templates for the catalog module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1

Added escaping to the currency symbol module to avoid XSS

Skrevet den 5. juli 202120. november 2024 af i Magento

The currency symbol wasn’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

Added escaping to the cms module to avoid XSS

Skrevet den 5. juli 202120. november 2024 af i Magento

The cms module wasn’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

Added escaping to several elements in the checkout module to avoid XSS

Skrevet den 5. juli 202116. maj 2026 af i Magento

Several elements in the checkout module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1

Added escaping to several elements in the checkout module to avoid XSS

Skrevet den 1. juli 202116. maj 2026 af i Magento

Several elements in the checkout module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1

Added escaping to several elements in the group template to avoid XSS

Skrevet den 30. juni 202116. maj 2026 af i Magento

Several elements in the group template weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7-beta1

Improved general hash logic to harden data hashing

Skrevet den 28. juni 202118. oktober 2025 af i Magento

The implemented cryptographic hash function SHA256 improves the generated (salted) hash which will offer optimized protection against attacks such as brute force.

This vulnerability affects the following application versions:

Magento 1.9.4.3
Magento 1.9.4.4

Adding form key to catalog template to prevent CSRF

Skrevet den 24. juni 202120. november 2024 af i Magento

To make sure post data for catalog template is ignored when it fails form key check to avoid CSRF.

Part of update 1.9.4.5

This vulnerability affects the following application versions:

Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1
Magento 1.9.4.2
Magento 1.9.4.3
Magento 1.9.4.4

Adding form key to grid and list to prevent CSRF

Skrevet den 23. juni 202120. november 2024 af i Magento

To make sure post data for grid and list is ignored when it fails form key check to avoid CSRF.

Part of update 1.9.4.5

This vulnerability affects the following application versions:

Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1
Magento 1.9.4.2
Magento 1.9.4.3
Magento 1.9.4.4

Adding form key to frontend shipping and cart to prevent CSRF

Skrevet den 21. juni 202120. november 2024 af i Magento

To make sure post data for frontend shipping and cart is ignored when it fails form key check to avoid CSRF.

Part of update 1.9.4.5

This vulnerability affects the following application versions:

Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1
Magento 1.9.4.2
Magento 1.9.4.3
Magento 1.9.4.4

Adding form key to cross sell page to prevent CSRF

Skrevet den 21. juni 202120. november 2024 af i Magento

To make sure post data for cross sell page is ignored when it fails form key check to avoid CSRF.

Part of update 1.9.4.5

This vulnerability affects the following application versions:

Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1
Magento 1.9.4.2
Magento 1.9.4.3
Magento 1.9.4.4

Added escaping to several elements in the download module to avoid XSS

Skrevet den 14. juni 202116. maj 2026 af i Magento

Several elements in the download module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Added escaping to the title in the directoy module to avoid XSS

Skrevet den 8. juni 202120. november 2024 af i Magento

The title wasn’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

[CVE-2020-3715] Added escaping to the export module to prevent XSS

Skrevet den 3. juni 202120. november 2024 af i Magento

An element in the export module wasn’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

Use improved salted hash method for password hashing in customer model to prevent signature bypass

Skrevet den 31. maj 202118. oktober 2025 af i Magento

For generating the password hash, not always the correct encryption model was used in customer model. This could lead to signature bypass.

This vulnerability affects the following application versions:

Magento 1.9.4.3
Magento 1.9.4.4

Added escaping to url in tax module to prevent XSS

Skrevet den 25. maj 202120. november 2024 af i Magento

Url in tax module wasn’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

Added escaping to elements for the swatch module to prevent XSS

Skrevet den 25. maj 202116. maj 2026 af i Magento

Several elements in the swatch module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Added escaping to signifyd order session to prevent XSS

Skrevet den 25. maj 202120. november 2024 af i Magento

Signifyd order session wasn’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

Added escaping to order item elements for the sales module to prevent XSS

Skrevet den 19. maj 202116. maj 2026 af i Magento

Several order item elements in the sales module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Added escaping to admin template elements for the sales module to prevent XSS

Skrevet den 11. maj 202120. november 2024 af i Magento

Several admin template elements in the sales module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 0.42.0-beta4
Magento 0.42.0-beta5
Magento 0.42.0-beta6
Magento 0.42.0-beta7
Magento 0.42.0-beta8
Magento 0.42.0-beta9
Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1

Added escaping to MSRP frontend elements for the MSRP module to prevent XSS

Skrevet den 6. maj 202116. maj 2026 af i Magento

Several frontend elements in the MSRP (Manufacturer’s Suggested Retail Price) module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Adding form key to downloadable checkout cart to prevent CSRF

Skrevet den 5. maj 202120. november 2024 af i Magento

To make sure post data for downloadable checkout cart is ignored when it fails form key check to avoid CSRF.

Part of update 1.9.4.5

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1
Magento 1.9.4.2
Magento 1.9.4.3
Magento 1.9.4.4

Use improved salted hash method for password hashing to prevent signature bypass

Skrevet den 4. maj 202118. oktober 2025 af i Magento

For generating the password hash, not always the correct encryption model was used. This could lead to signature bypass.

This vulnerability affects the following application versions:

Magento 1.9.4.3
Magento 1.9.4.4

Added escaping to template elements for the sales module to prevent XSS

Skrevet den 3. maj 202116. maj 2026 af i Magento

Several template element in the sales module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Added escaping to frontend elements for the sales module to prevent XSS

Skrevet den 22. april 202116. maj 2026 af i Magento

Several frontend element in the sales module weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Adding form key to widget viewed grid and list to prevent CSRF

Skrevet den 8. april 202120. november 2024 af i Magento

To make sure post data for widget viewed and list is ignored when it fails form key check to avoid CSRF.

Part of update 1.9.4.5

This vulnerability affects the following application versions:

Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1
Magento 1.9.4.2
Magento 1.9.4.3
Magento 1.9.4.4

Adding form key to shared and side bar wishlist to prevent CSRF

Skrevet den 30. marts 202120. november 2024 af i Magento

To make sure post data for shared and side bar wishlist is ignored when it fails form key check to avoid CSRF.

Part of update 1.9.4.5

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1
Magento 1.9.4.2
Magento 1.9.4.3
Magento 1.9.4.4

Added escaping to sales module to prevent XSS

Skrevet den 29. marts 202120. november 2024 af i Magento

Several items in the sales module weren’t properly escaped against XSS.

PRODSECBUG-2543/2599 / CVE-2020-3715/3758

Part of update Magento 2.3.4, 2.3.3-p1 and 2.2.11 Security Update

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

Escaping optimized for frontend customer templates to prevent XSS – 1

Skrevet den 25. februar 202120. november 2024 af i Magento

Several elements in frontend customer templates weren’t properly escaped against XSS.

Part of update Magento 2.3.4

This vulnerability affects the following application versions:

Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1

Escaping optimized for frontend customer templates to prevent XSS

Skrevet den 23. februar 202120. november 2024 af i Magento

Several elements in frontend customer templates weren’t properly escaped against XSS.

Part of update Magento 2.3.4

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

[PRODSECBUG-2186] Insecure Direct Object Reference (IDOR) vulnerability could expose order shipping details – CVE-2019-7890

Skrevet den 22. februar 202118. oktober 2025 af i Magento

An Insecure Direct Object Reference (IDOR) vulnerability in the order processing workflow could lead to unauthorized access to order details.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 3/3

This vulnerability affects the following application versions:

Magento 0.42.0-beta9
Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12

Expression list for malicious code input filter extended to avoid XSS and SQL injection

Skrevet den 8. februar 202120. november 2024 af i Magento

Regular expression list for JavaScript attributes and HTML tags were missing elements.

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1
Magento 1.9.4.2
Magento 1.9.4.3

[PRODSECBUG-2515] Stored cross-site scripting through transactional emails page when creating new email template – CVE-2019-8228

Skrevet den 4. februar 202118. oktober 2025 af i Magento

An authenticated user with limited administrative privileges could inject arbitrary JavaScript code into transactional email page when creating a new email template or editing existing email template.

Part of update SUPEE-11219

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1
Magento 1.9.4.2

[PRODSECBUG-2462] Remote code execution through file upload in Admin import feature (RCE) – CVE-2019-8114

Skrevet den 26. januar 202118. oktober 2025 af i Magento

An authenticated user with administrative privileges to import features could execute arbitrary code through a crafted configuration archive file upload.

Part of update SUPEE-11219

This vulnerability affects the following application versions:

Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1
Magento 1.9.4.2

[PRODSECBUG-2415] Remote code execution due to a race condition in the import feature (RCE) – CVE-2019-8232

Skrevet den 25. januar 202118. oktober 2025 af i Magento

An authenticated user with administrative privileges for the import feature could execute arbitrary code through a race condition that allowed webserver configuration file modification.

Part of update SUPEE-11219

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1
Magento 1.9.4.2

Added escaping to virtual item to prevent XSS

Skrevet den 19. januar 202116. maj 2026 af i Magento

Product name and quantity weren’t properly escaped against XSS.

Part of update Magento 2.3.4, 2.3.3-p1 and 2.2.11 Security Update

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Added escaping to partners and extensions to avoid XSS

Skrevet den 12. januar 202116. maj 2026 af i Magento

Several elements in partners and extensions weren’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Added escaping to save translate string to avoid XSS

Skrevet den 5. januar 202120. november 2024 af i Magento

The string in save translate wasn’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.3.4
Magento 2.3.4-p2
Magento 2.3.5
Magento 2.3.5-p1
Magento 2.3.5-p2

Names of disabled products could leak due to inadequate validation checks

Skrevet den 9. december 202018. oktober 2025 af i Magento

Inadequate validation could lead to the disclosure of product names even if marked as disabled.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 3/3

This vulnerability affects the following application versions:

Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.3.0
Magento 2.3.1

[PRODSECBUG-2307] Insufficient enforcement of user access controls could lead to unauthorized environment configuration changes

Skrevet den 3. december 202018. oktober 2025 af i Magento

Insufficient enforcement of user access controls could be abused by a low-privileged user to make unauthorized environment configuration changes, such as removing security controls.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 1/3

This vulnerability affects the following application versions:

Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.3.0
Magento 2.3.1

Added escaping to web API intergration tab to prevent XSS

Skrevet den 24. november 202020. november 2024 af i Magento

Resource tree template wasn’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

Added escaping to purchase order to prevent XSS

Skrevet den 29. oktober 202020. november 2024 af i Magento

Purchase order wasn’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

[PRODSECBUG-2127] Disclosure of Magento admin panel URL – CVE-2019-7852

Skrevet den 29. oktober 202018. oktober 2025 af i Magento

Requests for a specific file path could have resulted in a redirect to the URL of the Magento admin panel, disclosed its location to potentially unauthorized parties.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 3/3

This vulnerability affects the following application versions:

Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1

[PRODSECBUG-2337/PRODSECBUG-2307] Stored cross-site scripting in the catalog templates form – CVE-2019-7921 / Insufficient enforcement of user access controls could lead to unauthorized environment configuration changes – CVE-2019-7904

Skrevet den 26. oktober 202018. oktober 2025 af i Magento

PRODSECBUG-2337: A stored cross-site scripting vulnerability existed in the product catalog form. This could be exploited by an authenticated user with privileges to the product catalog to inject malicious javascript.

PRODSECBUG-2307: Insufficient enforcement of user access controls could be abused by a low-privileged user to make unauthorized environment configuration changes, such as removing security controls.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 2/3

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1

Added escaping to newsletter subscription to prevent XSS

Skrevet den 26. oktober 202020. november 2024 af i Magento

Newsletter subscription wasn’t properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

[PRODSECBUG-2275] Unsafe functionality was exposed via email templates manipulation – CVE-2019-7889

Skrevet den 12. oktober 202018. oktober 2025 af i Magento

An authenticated user with marketing manipulation privileges could invoke methods that alter data of the underlying model followed by corresponding database modifications.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 1/3

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.3.0
Magento 2.3.1

[PRODSECBUG-2275] Unsafe functionality is exposed via email templates manipulation – CVE-2019-7889

Skrevet den 28. september 202018. oktober 2025 af i Magento

An authenticated user with marketing manipulation privileges could invoke methods that alter data of the underlying model followed by corresponding database modifications.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 1/3

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.3.0
Magento 2.3.1

Added escaping to product alert module view to prevent XSS

Skrevet den 3. september 202016. maj 2026 af i Magento

Title of the sign up label of the action alert was not properly escaped against XSS.

Part of update 2.3.4.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Added escaping to values in advance searching to prevent XSS

Skrevet den 1. september 202020. november 2024 af i Magento

Several values in advance searching were not properly escaped against XSS.

Part of update 2.3.4

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

Improved escaping for the catalog widget module to prevent XSS

Skrevet den 20. august 202018. oktober 2025 af i Magento

The item name, get SKU and add to cart parts weren’t properly escaped against XSS.

Part of Magento 2.3.4, 2.3.3-p1 and 2.2.11 Security Update

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2

[PRODSECBUG-2192] Remote code execution though crafted newsletter and email templates

Skrevet den 13. august 202018. oktober 2025 af i Magento

An authenticated user with privileges to create a newsletter or email templates could execute arbitrary code through a crafted newsletter or email template code.

Part of update Magento 2.3.1, 2.2.8 and 2.1.17 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.3.0

[PRODSECBUG-1513] Insufficient brute force protections on promo code entry – CVE-2019-7846

Skrevet den 10. august 202018. oktober 2025 af i Magento

Insufficient brute force protections on promo code entry could allow an attacker to guess discount codes offered by the Magento merchant.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 3/3

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.3.0
Magento 2.3.1

[PRODSECBUG-2038] Stored cross-site scripting vulnerability in the Admin through the Checkbox Custom Option Value field

Skrevet den 30. juli 202018. oktober 2025 af i Magento

An authenticated user with privileges to the Checkbox Custom Option Value field on the Admin could use a stored cross-site scripting vulnerability to embed malicious code.

Part of update Magento 2.3.1, 2.2.8 and 2.1.17 Security Update

This vulnerability affects the following application versions:

Magento 2.3.0

[PRODSECBUG-2178] Stored cross-site scripting in the admin panel via the Admin Shopping Cart Rules page

Skrevet den 28. juli 202018. oktober 2025 af i Magento

An authenticated user with administrative privileges could embed arbitrary code in the Conditions tab of Admin Shopping Cart Rules page.

Part of update Magento 2.3.1, 2.2.8 and 2.1.17 Security Update

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.3.0

[PRODSECBUG-2126] Reflected cross-site scripting through manipulation of the Admin notification feed URL

Skrevet den 23. juli 202018. oktober 2025 af i Magento

An authenticated user with administrative privileges could manipulate the notification feed , which allowed an attacker to use a cross-site scripting vulnerability to embed malicious code.

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.3.0

Added escaping to frontend forms and list to avoid XSS

Skrevet den 2. juli 202020. november 2024 af i Magento

Some frontend forms and lists were not properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

[PRODSECBUG-2164/2267] Use of cryptographically weak PRNG to create gift card codes – CVE-2019-7855

Skrevet den 10. juni 202018. oktober 2025 af i Magento

Given a single gift card code, an unauthenticated user could discover an invariant used in gift card generation.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 2/3

This vulnerability affects the following application versions:

Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.3.0
Magento 2.3.1

Escaping added to tracking progress to prevent XSS

Skrevet den 18. maj 202016. maj 2026 af i Magento

Several elements in the shipping module were not properly escaped against XSS.

PRODSECBUG-2543 – CVE-2020-3715 / PRODSECBUG-2599 – CVE-2020-3758

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1
Magento 2.4.1-p1
Magento 2.4.2
Magento 2.4.2-p1
Magento 2.4.2-p2
Magento 2.4.3
Magento 2.4.3-p1
Magento 2.4.3-p2
Magento 2.4.3-p3
Magento 2.4.4
Magento 2.4.4-p1
Magento 2.4.4-p2
Magento 2.4.4-p3
Magento 2.4.4-p4
Magento 2.4.4-p5
Magento 2.4.4-p6
Magento 2.4.4-p7
Magento 2.4.4-p8
Magento 2.4.4-p9
Magento 2.4.4-p10
Magento 2.4.4-p11
Magento 2.4.4-p12
Magento 2.4.4-p13
Magento 2.4.5
Magento 2.4.5-p1
Magento 2.4.5-p2
Magento 2.4.5-p3
Magento 2.4.5-p4
Magento 2.4.5-p5
Magento 2.4.5-p6
Magento 2.4.5-p7
Magento 2.4.5-p8
Magento 2.4.5-p9
Magento 2.4.5-p10
Magento 2.4.5-p11
Magento 2.4.5-p12
Magento 2.4.5-p13
Magento 2.4.5-p14
Magento 2.4.6
Magento 2.4.6-p1
Magento 2.4.6-p2
Magento 2.4.6-p3
Magento 2.4.6-p4
Magento 2.4.6-p5
Magento 2.4.6-p6
Magento 2.4.6-p7
Magento 2.4.6-p8
Magento 2.4.6-p9
Magento 2.4.6-p10
Magento 2.4.6-p11
Magento 2.4.6-p12
Magento 2.4.6-p13
Magento 2.4.6-p14
Magento 2.4.6-p15
Magento 2.4.7
Magento 2.4.7-beta1
Magento 2.4.7-beta2
Magento 2.4.7-beta3
Magento 2.4.7-p1
Magento 2.4.7-p2
Magento 2.4.7-p3
Magento 2.4.7-p4
Magento 2.4.7-p5
Magento 2.4.7-p6
Magento 2.4.7-p7
Magento 2.4.7-p8
Magento 2.4.7-p9
Magento 2.4.7-p10
Magento 2.4.8
Magento 2.4.8-beta1
Magento 2.4.8-beta2
Magento 2.4.8-p1
Magento 2.4.8-p2
Magento 2.4.8-p3
Magento 2.4.8-p4
Magento 2.4.8-p5
Magento 2.4.9-alpha1
Magento 2.4.9-alpha2

Adding escaping in the shipping module to prevent XSS

Skrevet den 12. maj 202020. november 2024 af i Magento

Various parts in the shipping module were not properly escaped against XSS.

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1
Magento 2.4.0
Magento 2.4.0-p1
Magento 2.4.1

[PRODSECBUG-2192] Remote code execution though crafted newsletter and email templates

Skrevet den 21. april 202018. oktober 2025 af i Magento

An authenticated user with privileges to create newsletter or email templates could execute arbitrary code through crafted newsletter or email template code.

Part of update Magento 2.3.1, 2.2.8 and 2.1.17 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.3.0

[PRODSECBUG-2380] Stored cross-site scripting in the Currency Symbols field – CVE-2019-7945

Skrevet den 20. april 202018. oktober 2025 af i Magento

An authenticated user with privileges to the Currency Symbols functionality could inject malicious javascript.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 2/3

This vulnerability affects the following application versions:

Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.3.0
Magento 2.3.1

[PRODSECBUG-2173] Path traversal vulnerability in WYSIWYG editor – CVE-2019-7859

Skrevet den 20. april 202018. oktober 2025 af i Magento

An attacker could access uploaded images directly by traversing to its URL without sufficient access control.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 2/3

This vulnerability affects the following application versions:

Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.3.0
Magento 2.3.1

[PRODSECBUG-2128] Stored Cross Site Scripting in the Admin Panel through the tax/notification/info_url setting – CVE-2019-7853

Skrevet den 14. april 202018. oktober 2025 af i Magento

An authenticated user with privileges to the tax > notification > info_url setting in the Admin panel could embed malicious code through a stored cross-site scripting vulnerability.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 2/3

This vulnerability affects the following application versions:

Magento 0.42.0-beta4
Magento 0.42.0-beta5
Magento 0.42.0-beta9
Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.3.0
Magento 2.3.1

[PRODSECBUG-2184] Stored cross-site scripting in the admin panel via the Terms & Conditions with Checkbox Text field in the admin panel

Skrevet den 14. april 202018. oktober 2025 af i Magento

An authenticated user with administrative privileges could embed arbitrary code via a stored cross site scripting vulnerability in the Terms & Conditions with Checkbox Text field in the admin panel.

Part of update Magento 2.3.1, 2.2.8 and 2.1.17 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0

[PRODSECBUG-2290] Cross-site scripting through the Admin (XSS) – CVE-2019-8157

Skrevet den 6. april 202018. oktober 2025 af i Magento

Users with permission to edit products could inject an XSS payload when saving a product with a downloadable link.

Part of update Magento 2.3.3 and 2.2.10 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2

Adding escaping to agreement in checkout module to prevent XSS

Skrevet den 2. april 202020. november 2024 af i Magento

Checkbox text was not properly sanitized in checkout module.

Part of update Magento 2.3.4, 2.3.3-p1 and 2.2.11 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2
Magento 2.3.3
Magento 2.3.3-p1

[PRODSECBUG-2202] Security bypass via form data injection – CVE-2019-7871

Skrevet den 30. marts 202018. oktober 2025 af i Magento

An authenticated user could inject form data and bypass security protections that prevent arbitrary PHP script upload.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 1/3

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.3.0
Magento 2.3.1

[PRODSECBUG-222] Deletion of user roles via cross-site request forgery (CSRF) – CVE-2019-7874

Skrevet den 30. marts 202018. oktober 2025 af i Magento

An attacker could delete user roles within the context of an authenticated administrator’s session through cross-site request forgery (CSRF).

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 1/3

This vulnerability affects the following application versions:

Magento 0.42.0-beta4
Magento 0.42.0-beta5
Magento 0.42.0-beta6
Magento 0.42.0-beta7
Magento 0.42.0-beta8
Magento 0.42.0-beta9
Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.3.0
Magento 2.3.1

[PRODSECBUG-2351] Arbitrary code execution via crafted sitemap creation – CVE-2019-7932

Skrevet den 4. marts 202018. oktober 2025 af i Magento

An authenticated user with admin privileges to create sitemaps could execute arbitrary code by crafted filenames that include php extension within the XML filename.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.3.0
Magento 2.3.1

[PRODSECBUG-2448/2344] Cross side scripting via admin panel dashboard – CVE-2019-8120

Skrevet den 4. marts 202018. oktober 2025 af i Magento

An authenticated user could abuse the blockDirective() function and inject malicious JavaScript in the cache of the Admin and inject arbitrary JavaScript code by manipulating a section of a POST request that is related to customer’s email address.

Part of update Magento 2.3.3 and 2.2.10 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2

[PRODSECBUG-2434] SQL injection in ‘Catalog Products List’ widget leading to privilege escalation – CVE-2019-8127

Skrevet den 2. marts 202018. oktober 2025 af i Magento

An authenticated user with privileges to an account with permission to edit newsletter templates could exfiltrate the Admin login data and reset their password, effectively performing a privilege escalation.

Part of update Magento 2.3.3 and 2.2.10 Security Update

This vulnerability affects the following application versions:

Magento 0.42.0-beta4
Magento 0.42.0-beta5
Magento 0.42.0-beta6
Magento 0.42.0-beta7
Magento 0.42.0-beta8
Magento 0.42.0-beta9
Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.2.0
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.3.0
Magento 2.3.1

[PRODSECBUG-2452/2464] User Password was stored in cleartext – CVE-2019-8118

Skrevet den 2. marts 202018. oktober 2025 af i Magento

Weak cryptographic function used for storing the failed login attempts for customer accounts.

Part of update Magento 2.3.3 and 2.2.10 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2

[PRODSECBUG-2462] Remote code execution via file upload in admin import feature – CVE-2019-8114

Skrevet den 27. februar 202018. oktober 2025 af i Magento

An authenticated user with administrative privileges to import features could execute arbitrary code through a crafted configuration archive file upload.

Part of release Magento 2.3.3 and 2.2.10 Security Update

This vulnerability affects the following application versions:

Magento 2.3.0
Magento 2.3.1
Magento 2.3.2

[PRODSECBUG-2403] Remote code execution through crafted Page Builder templates – CVE-2019-8144

Skrevet den 19. februar 202018. oktober 2025 af i Magento

An unauthenticated user could insert a malicious payload through Page Builder template methods.

Part of update Magento 2.3.3 and 2.2.10 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2

[PRODSECBUG-2423] Cross-site scripting through inventory source – CVE-2019-8131

Skrevet den 11. februar 202018. oktober 2025 af i Magento

An authenticated user could inject arbitrary JavaScript code into the code field of an inventory source.

Part of update Magento 2.3.3 and 2.2.10 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2

[PRODSECBUG-2458] Cross-site scripting in image file names (XSS) – CVE-2019-8115

Skrevet den 11. februar 202018. oktober 2025 af i Magento

An authenticated administrator could inject arbitrary JavaScript code when adding an image during simple product creation.

Part of update Magento 2.3.3 and 2.2.10 Security Update

This vulnerability affects the following application versions:

Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2

[PRODSECBUG-2410] Cross-site scripting through dynamic blocks in the Page Builder (XSS) – CVE-2019-8139

Skrevet den 5. februar 202018. oktober 2025 af i Magento

An authenticated user could inject arbitrary JavaScript code into a dynamic block when invoking Page Builder on a product.

Part of update Magento 2.3.3 and 2.2.10 Security Update

This vulnerability affects the following application versions:

Magento 0.42.0-beta4
Magento 0.42.0-beta5
Magento 0.42.0-beta6
Magento 0.42.0-beta7
Magento 0.42.0-beta8
Magento 0.42.0-beta9
Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2

[PRODSECBUG-2478] Broken authentication and session management – CVE-2019-8108

Skrevet den 28. januar 202018. oktober 2025 af i Magento

Official description: An authenticated user could manipulate a storefront’s session validation setting, leading to insecure authentication and session management.

Part of update Magento 2.3.3 and 2.2.10 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2

[PRODSECBUG-2422] Cross-site scripting through email template names (XSS) – CVE-2019-8132

Skrevet den 27. januar 202018. oktober 2025 af i Magento

An authenticated user could craft a malicious payload in the template Name field for email templates in the Design Configuration dashboard.

Part of update Magento 2.3.3 and 2.2.10 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2

[PRODSECBUG-2229] Stored cross-site scripting in the admin panel via the Attribute Label for Media Attributes section

Skrevet den 23. januar 202018. oktober 2025 af i Magento

An authenticated user with administrative privileges could embed malicious code in the Attribute Label for Media Attributes section in the admin panel.

Part of update release 2.3.1, 2.2.8, 2.1.17

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.3.0

[PRODSECBUG-2405] Injection vulnerability through email templates – CVE-2019-8143

Skrevet den 23. januar 202018. oktober 2025 af i Magento

An authenticated user with access to email templates could send malicious SQL queries and obtain access to sensitive information stored in the database.

Part of update Magento 2.3.3 and 2.2.10 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.3.0
Magento 2.3.1
Magento 2.3.2
Magento 2.3.2-p1
Magento 2.3.2-p2

[PRODSECBUG-2028] Stored cross-site scripting vulnerability in the Admin Stores > Attributes > Product configuration area

Skrevet den 12. december 201918. oktober 2025 af i Magento

An authenticated user with privileges to the Admin **Stores** > **Attributes** > **Product ** configuration area could use a stored cross-site scripting vulnerability to embed malicious code.

Part of update Magento 2.3.1, 2.2.8 and 2.1.17 Security Update

This vulnerability affects the following application versions:

Magento 0.42.0-beta4
Magento 0.42.0-beta5
Magento 0.42.0-beta6
Magento 0.42.0-beta7
Magento 0.42.0-beta8
Magento 0.42.0-beta9
Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0

[PRODSECBUG-2236] SQL Injection and cross-site scripting vulnerability in Catalog section (XSS)

Skrevet den 12. december 201918. oktober 2025 af i Magento

An authenticated user could embed malicious code through a stored cross-site scripting vulnerability or an SQL injection vulnerability in the Catalog section by manipulating attribute_code.

Part of update Magento 2.3.1, 2.2.8 and 2.1.17 Security Update

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1

[PRODSECBUG-204] Stored cross-site scripting vulnerability in Admin product names

Skrevet den 11. december 201918. oktober 2025 af i Magento

An authenticated user with privileges to product name fields on the Admin could use stored cross-site scripting vulnerability to embed malicious code.

Part of update Magento 2.3.1, 2.2.8 and 2.1.17 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0

[PRODSECBUG-209] Defense-in-depth session validation check implemented – CVE-2019-8067

Skrevet den 5. december 201918. oktober 2025 af i Magento

A defense-in-depth check was added to mitigate inadequate session validation handling by 3rd party checkout modules.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 3/3

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1
Magento 1.9.4.3

[PRODSECBUG-2228] Sensitive Data Disclosure due to Insecure Direct Object References vulnerability

Skrevet den 4. december 201918. oktober 2025 af i Magento

An authenticated user could view Personally identifiable details of another user via exploiting an Insecure Direct Object References vulnerability.

Part of update Magento 2.3.1, 2.2.8 and 2.1.17 Security Update

This vulnerability affects the following application versions:

Magento 0.42.0-beta4
Magento 0.42.0-beta5
Magento 0.42.0-beta6
Magento 0.42.0-beta7
Magento 0.42.0-beta8
Magento 0.42.0-beta9
Magento 0.42.0-beta10
Magento 0.42.0-beta11
Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.2.10
Magento 2.2.11
Magento 2.3.0

[PRODSECBUG-2273] Arbitrary code execution due to unsafe handling of a malicious product attribute configuration

Skrevet den 27. november 201918. oktober 2025 af i Magento

An authenticated user with privileges to configure products could execute arbitrary PHP code.

Part of update SUPEE-11086

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0

[PRODSECBUG-2277] SQL injection due to inadequate validation of user input

Skrevet den 27. november 201918. oktober 2025 af i Magento

An authenticated user with privileges to configure email templates could execute arbitrary SQL queries.

Part of update Magento 2.3.1, 2.2.8 and 2.1.17 Security Update

This vulnerability affects the following application versions:

Magento 0.74.0-beta1
Magento 0.74.0-beta2
Magento 0.74.0-beta3
Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.3.0

[PRODSECBUG-2162] Unauthorized data control due to a bypass of authentication controls for a customer using a web API endpoint

Skrevet den 27. november 201918. oktober 2025 af i Magento

An authenticated customer could control other customer’s requistion lists by using a web API endpoint to send a request to the server. (This overrides the customer_id parameter.)

Part of update Magento 2.3.1, 2.2.8 and 2.1.17 Security Update

This vulnerability affects the following application versions:

Magento 2.2.6
Magento 2.2.7
Magento 2.3.0

[PRODSECBUG-2227] Deletion of SOAP/XML-RPC-User and SOAP/XML-RPC-Role through cross-site request forgery

Skrevet den 25. november 201918. oktober 2025 af i Magento

An attacker could delete SOAP/XML-RPC-User and SOAP/XML-RPC-Role within the context of an authenticated administrator’s session through cross-site request forgery.

Part of update SUPEE-11086

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0

[PRODSECBUG-2329] Use of insufficiently random values in multiple security relevant contexts – CVE-2019-7916

Skrevet den 19. november 201918. oktober 2025 af i Magento

Cryptographically weak pseudo-rando number generator was used in multiple security relevant contexts (e.g., anti-CSRF tokens) allowing malicious user to predict random values.

Part of update SUPEE-11155

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1

[PRODSECBUG-2182] Reflected cross-site scriptingin in the product widget chooser section of the Admin

Skrevet den 19. november 201918. oktober 2025 af i Magento

An authenticated user with administrative privileges could embed arbitrary code in the product widget chooser section of the Admin.

Part of update SUPEE-11086

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0

[PRODSECBUG-2285] Remote code execution via server side request forgery issued to Redis

Skrevet den 19. november 201918. oktober 2025 af i Magento

An authenticated user with administrative privileges to store configuration could execute arbitrary code via server side request forgery (SSRF) issued to Redis. SSRF had facilitated through crafted gateway XML URL configuration.

Part of update SUPEE-11086

This vulnerability affects the following application versions:

Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0

[PRODSECBUG-2305] Deletion of reviews via cross-site request forgery (CSRF) – CVE-2019-7902

Skrevet den 19. november 201918. oktober 2025 af i Magento

A cross-site request forgery (CSRF) bug in the reviews feature could be abused to delete a customer review.

Part of update SUPEE-11155

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1

[PRODSECBUG-2246] Stored cross-site scripting in the WYSIWYG editor – CVE-2019-7882

Skrevet den 13. november 201918. oktober 2025 af i Magento

A stored cross-site scripting vulnerability had existed in the WYSIWYG editor. This could be exploited by an authenticated user with privileges to the editor to inject malicious SWF files.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 2/3

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1

[PRODSECBUG-2230] Data manipulation due to improper validation

Skrevet den 13. november 201918. oktober 2025 af i Magento

An authenticated user could manipulate data without required validation.

Part of update SUPEE-11086

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0

[PRODSECBUG-2262] Arbitrary code execution by importing malicious dataflow profiles – CVE-2019-7884

Skrevet den 13. november 201918. oktober 2025 af i Magento

An authenticated user with privileges to edit block permission, import dataflow functionality, and modify CMS content could execute arbitrary code by importing malicious dataflow profiles.

Part of update SUPEE-11155

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1

[PRODSECBUG-2220] Deletion of store design schedule through cross-site request forgery

Skrevet den 13. november 201918. oktober 2025 af i Magento

An attacker could delete the store design schedule within the context of an authenticated administrator’s session through cross-site request forgery.

Part of update SUPEE-11086

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0

[PRODSECBUG-2289] Arbitrary code execution in the advanced admin logging configuration

Skrevet den 14. oktober 201918. oktober 2025 af i Magento

A user with administrator privileges and access to the advanced admin logging configuration could trigger remote code execution via PHP Object Injection.

Part of SUPEE-11155

This vulnerability affects the following application versions:

Magento 1.9.4.1

[PRODSECBUG-2289] Arbitrary code execution in the advanced admin logging configuration – CVE-2019-7893

Skrevet den 14. oktober 201918. oktober 2025 af i Magento

A user with administrator privileges and access to the advanced admin logging configuration could trigger remote code execution via PHP Object Injection.

Part of SUPEE-11155

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1

[PRODSECBUG-2380] Stored cross-site scripting in the Currency Symbols field – CVE-2019-7945

Skrevet den 14. oktober 201918. oktober 2025 af i Magento

An authenticated user with privileges to the Currency Symbols functionality could inject malicious javascript.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 2/3

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1

[PRODSECBUG-2312] PHP Object Injection in the Model Design Package could lead to arbitrary code execution – CVE-2019-7906

Skrevet den 10. oktober 201918. oktober 2025 af i Magento

A PHP Object Injection vulnerability in the model design package could be exploited by an authenticated user with administrator privileges to execute arbitrate code.

Part of update SUPEE-11155

This vulnerability affects the following application versions:

Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1

[PRODSECBUG-2273] Sensitive data disclosure though malicious email templates – CVE-2019-7888

Skrevet den 24. september 201918. oktober 2025 af i Magento

An authenticated user with privileges could create email templates that could leak sensitive data through malicious email template code.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 3/3

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1

[PRODSECBUG-2282] Deletion of terms and Conditions via cross-site request forgery (CSRF) – CVE-2019-7891

Skrevet den 16. september 201918. oktober 2025 af i Magento

An attacker could delete Terms and Conditions within the context of an authenticated administrator’s session through cross-site request forgery (CSRF).

Part of update SUPEE-11155

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1

[PRODSECBUG-2300] Information about disabled products could leak due to inadequate validation checks – CVE-2019-7898

Skrevet den 12. september 201918. oktober 2025 af i Magento

Inadequate validation could lead to disclosure of downloadable product samples even if marked as disabled.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 2/3

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1

[PRODSECBUG-2349] Arbitrary code execution via file upload in admin import feature – CVE-2019-7930

Skrevet den 11. september 201918. oktober 2025 af i Magento

An authenticated user with admin privileges to the import feature could execute arbitrary code by uploading a malicious csv file.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 1/3

This vulnerability affects the following application versions:

Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.2.9
Magento 2.3.0
Magento 2.3.1

[PRODSECBUG-2296] Arbitrary code execution through design layout update – CVE-2019-7895

Skrevet den 10. september 201918. oktober 2025 af i Magento

An authenticated user with admin privileges could execute arbitrary code through a crafted XML layout update.

Part of update Magento 2.3.2, 2.2.9 and 2.1.18 Security Update 1/3

This vulnerability affects the following application versions:

Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6
Magento 2.2.7
Magento 2.2.8
Magento 2.3.0
Magento 2.3.1

[ PRODSECBUG-2270 ] Reflected cross-site scripting in the admin panel – CVE-2019-7887

Skrevet den 3. september 201918. oktober 2025 af i Magento

A reflected cross-site scripting vulnerability existed in the admin panel. This could be exploited by an authenticated user with privileges to the admin panel to inject malicious javascript.

Part of update SUPEE-11155

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1

[APPSEC-1909] Admin account takeover via File upload information disclosure

Skrevet den 3. september 201920. november 2024 af i Magento

It had been discovered that Magento reveals HTTPOnly admin session cookie in the response of successful file upload in admin. Because the response content type was JSON, it was possible that attacker could steal admin session cookie by exploiting any XSS present in admin panel. Vulnerable file upload sections are in CMS, Catalog and Downloadable modules.

Part of update Magento 2.2.6 and 2.1.15 Security Update

This vulnerability affects the following application versions:

Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5

[PRODSECBUG-2241] Email functionality could be abused for SPAM or spoofing activities – CVE-2019-7879

Skrevet den 3. september 201918. oktober 2025 af i Magento

The default configuration of the Magento “Email to a friend” feature could be abused by an attacker to send SPAM or spoofed emails.

Part of update SUPEE-11155

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1

[ PRODSECBUG-2378 ] Stored cross-site scripting in the Return Product comments feature – CVE-2019-7944

Skrevet den 3. september 201918. oktober 2025 af i Magento

A stored cross-site scripting vulnerability existed in the product comments field. Authenticated user with privileges to the Return Product comments field could inject malicious javascript.

Part of update SUPEE-11155

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10
Magento 1.9.4.0
Magento 1.9.4.1

[APPSEC-2014] Authenticated Remote Code Execution (RCE) through the Magento admin panel (swatches module)

Skrevet den 13. august 201920. november 2024 af i Magento

An administrator user could achieve remote code execution by exploiting a vulnerability in the swatches module.

Part of update MAGENTO 2.2.5 AND 2.1.14 SECURITY UPDATE

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13

[APPSEC-1825] PHP Object Injection in E-mail templates lead to Remote Code Execution

Skrevet den 13. august 201920. november 2024 af i Magento

An administrator with limited privileges could insert malicious code in e-mail templates, creating an opportunity for arbitrary remote code execution.

Part of update MAGENTO 2.2.1, 2.1.10 AND 2.0.17 SECURITY UPDATE

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8

[APPSEC-2032] XSS When Viewing Catalog Category Link Widget Via Category Name

Skrevet den 6. august 201920. november 2024 af i Magento

XSS When Viewing Catalog Category Link Widget Via Category Name.

Part of Magento 2.2.6 and 2.1.15 Security Update

This vulnerability affects the following application versions:

Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5

[APPSEC-2070] Directory Traversal in Product Import

Skrevet den 24. juli 201920. november 2024 af i Magento

An administrator user with access to product import could perform a directory traversal.

Part of update MAGENTO 2.2.5 AND 2.1.14 SECURITY UPDATE

This vulnerability affects the following application versions:

Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.13

[APPSEC-2026] Authenticated Remote Code Execution (RCE) through the Magento admin panel (currency configuration)

Skrevet den 23. juli 201920. november 2024 af i Magento

An administrator user could achieve remote code execution by exploiting a vulnerability in the currency configuration.

Part of update MAGENTO 2.2.5 AND 2.1.14 SECURITY UPDATE

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.1.13

[PRODSECBUG-2019] Merchant Wishlist Security Strenghening

Skrevet den 9. juli 201918. oktober 2025 af i Magento

Prevents unwanted spamming of user wishlists.

Part of update SUPEE-10975

This vulnerability affects the following application versions:

Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10

Sanitize memory_limit for the export page

Skrevet den 9. juli 201918. oktober 2025 af i Magento

The FILTER_SANITIZE_NUMBER_INT filter removes all illegal characters from a number.

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10

[PRODSECBUG-1860] Admin Account XSS Attack Cessation via Filename

Skrevet den 9. juli 201918. oktober 2025 af i Magento

An attacker with access to upload could craft an image with a malicious file name in order to execute an XSS attack.

Part of update SUPEE-10975

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10

[PRODSECBUG-2053] Prevents XSS in Newsletter Template

Skrevet den 9. juli 201918. oktober 2025 af i Magento

Newletter Template Settings are strengthened to prevent possible XSS Attack.

Part of update SUPEE-10975

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10

[PRODSECBUG-2138] Widget Based XSS Vulnerability

Skrevet den 26. juni 201918. oktober 2025 af i Magento

A remote attacker is prevented from inserting arbitrary codes.

Part of update Magento 2.2.7 and 2.1.16 Security Update

This vulnerability affects the following application versions:

Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6

Implicit conversion of input data into string

Skrevet den 26. juni 201920. november 2024 af i Magento

The function used to prevent an XSS attack was not able to convert the input data in a string implicitly.

This vulnerability affects the following application versions:

Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.1.16
Magento 2.1.17
Magento 2.1.18
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6

[ PRODSECBUG-2125 ] CSRF on deletion of Blocks Vulnerability

Skrevet den 25. juni 201918. oktober 2025 af i Magento

Prevents a cross site request forgery vulnerability which could delete all Blocks at once

Part of update SUPEE-10975

This vulnerability affects the following application versions:

Magento 1.9.1.1
Magento 1.9.2.0
Magento 1.9.2.1
Magento 1.9.2.2
Magento 1.9.2.3
Magento 1.9.2.4
Magento 1.9.3.0
Magento 1.9.3.1
Magento 1.9.3.2
Magento 1.9.3.3
Magento 1.9.3.4
Magento 1.9.3.6
Magento 1.9.3.7
Magento 1.9.3.8
Magento 1.9.3.9
Magento 1.9.3.10

[PRODSECBUG-2151] Remote Code Execution through Path Traversal

Skrevet den 3. juni 201918. oktober 2025 af i Magento

Administrators with limited privileges could upload an unauthorized template using the path traversal capability. Although most forms had not authorized this type of upload, an attacker could create a product with a file custom options that accepts an unauthorized template file.

Part of update Magento 2.2.7 and 2.1.16 Security Update

This vulnerability affects the following application versions:

Magento 0.74.0-beta4
Magento 0.74.0-beta5
Magento 0.74.0-beta6
Magento 0.74.0-beta7
Magento 0.74.0-beta8
Magento 0.74.0-beta9
Magento 0.74.0-beta10
Magento 0.74.0-beta11
Magento 0.74.0-beta12
Magento 0.74.0-beta13
Magento 0.74.0-beta14
Magento 0.74.0-beta15
Magento 0.74.0-beta16
Magento 1.0.0-beta
Magento 1.0.0-beta2
Magento 1.0.0-beta3
Magento 1.0.0-beta4
Magento 1.0.0-beta5
Magento 1.0.0-beta6
Magento 2.0.0
Magento 2.0.0-rc
Magento 2.0.0-rc2
Magento 2.0.1
Magento 2.0.2
Magento 2.0.3
Magento 2.0.4
Magento 2.0.5
Magento 2.0.6
Magento 2.0.7
Magento 2.0.8
Magento 2.0.9
Magento 2.0.10
Magento 2.0.11
Magento 2.0.12
Magento 2.0.13
Magento 2.0.14
Magento 2.0.15
Magento 2.0.16
Magento 2.0.17
Magento 2.0.18
Magento 2.1.0
Magento 2.1.0-rc1
Magento 2.1.0-rc2
Magento 2.1.0-rc3
Magento 2.1.1
Magento 2.1.2
Magento 2.1.3
Magento 2.1.4
Magento 2.1.5
Magento 2.1.6
Magento 2.1.7
Magento 2.1.8
Magento 2.1.9
Magento 2.1.10
Magento 2.1.11
Magento 2.1.12
Magento 2.1.13
Magento 2.1.14
Magento 2.1.15
Magento 2.2.0
Magento 2.2.0-rc2.0
Magento 2.2.0-rc2.1
Magento 2.2.0-rc2.2
Magento 2.2.0-rc2.3
Magento 2.2.0-rc3.0
Magento 2.2.0-RC1.1
Magento 2.2.0-RC1.2
Magento 2.2.0-RC1.3
Magento 2.2.0-RC1.4
Magento 2.2.0-RC1.5
Magento 2.2.0-RC1.6
Magento 2.2.0-RC1.8
Magento 2.2.1
Magento 2.2.2
Magento 2.2.3
Magento 2.2.4
Magento 2.2.5
Magento 2.2.6

[ PRODSECBUG-2123 ] PHP Object Injection (POI) and Remote Code Execution (RCE) in the Admin

Skrevet den 3. juni 201918. oktober 2025 af i Magento

An administrator with access to Varnish configuration settings and the design configuration could trigger remote code execution through PHP object instantiation.

Part of update Magento 2.2.7 and 2.1.16 Security Update

This vulnerability affects the following application versions: