Iniciar sesión
Deutsch English Español Polski
Media

Magento's X-Original-Url header can expose admin url

  • Publicada: 02.02.2026
  • Actualizado: 11.10.2026 10:22

Impact

The admin url can be discovered without prior knowledge of it's location by exploiting the X-Original-Url header on some configurations.

Patches

The bug comes from the Zend library and is patche by unsetting the header in the bootstrap process.

Workarounds

Unset the X-Original-Url header in the web server configuration.

References

The activation of these headers is coming from the Zend_Controller module. It appears this has been known to some degree since 2016 - https://peterocallaghan.co.uk/2016/12/magento-poisoning-cache/ (dead link now..)

Credit

Anees Hyder ( @anees0xdev ) via HackerOne https://hackerone.com/anees0x_dev/hacktivity

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer openmage/magento-lts < 20.16.1 20.16.1

Referencias

Puntuación CVSS 5.3/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Debilidad (CWE)
CWE-200
Plataforma
Composer
Paquete
openmage/magento-lts
Publicada
02.02.2026
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-jg68-vhv3-9r8f - CC BY 4.0

Historial de vulnerabilidades: openmage/magento-lts

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (26) en el archivo
Entradas en total
26
Primera → última
08.2020 05.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 3
  • Alta 12
  • Media 10
  • Baja 1

Divulgaciones por año

Gravedad:
  1. Magento LTS has Weak API Session ID — Predictable MD5 of Time-Derived Inputs
    Crítica CVE-2026-42155 < 20.18.0 20.18.0
  2. OpenMage LTS: Customer File Upload Extension Blocklist Bypass → Remote Code Execution
    Alta · 8.8 CVE-2026-40488 < 20.17.0 20.17.0
  3. OpenMage LTS: Phar Deserialization leads to Remote Code Execution
    Alta · 8.1 CVE-2026-25524 < 20.17.0 20.17.0
  4. Magento's X-Original-Url header can expose admin url esta entrada
    Media · 5.3 CVE-2026-25523 < 20.16.1 20.16.1
  5. Magento LTS vulnerable to Stored XSS via TinyMCE WYSIWYG Editor
    Alta · 7.5 ghsa-9j5w-2cqc-cwj9 < 20.2.0 20.2.0
  6. Magento LTS's guest order "protect code" can be brute-forced too easily
    Alta · 7.5 CVE-2023-41879 < 19.5.1, >= 20.0.0, < 20.1.1 19.5.1, 20.1.1
  7. DataFlow upload remote code execution vulnerability
    Alta · 7.2 CVE-2021-41231 < 19.4.22, >= 20.0.0, < 20.0.19 19.4.22, 20.0.19
  8. Fix for authenticated remote code execution through layout update
    Alta · 8.8 CVE-2021-41144 < 19.4.22, >= 20.0.0, < 20.0.19 19.4.22, 20.0.19
  9. Fix for arbitrary file deletion in customer media allows for remote code execution
    Alta · 7.2 CVE-2021-41143 < 19.4.22, >= 20.0.0, < 20.0.19 19.4.22, 20.0.19
  10. Fix for arbitrary command execution in custom layout update through blocks
    Alta · 7.2 CVE-2021-39217 < 19.4.22, >= 20.0.0, < 20.0.19 19.4.22, 20.0.19
  11. Layout XML Arbitrary Code Fix
    Alta CVE-2021-32758 < 19.4.15, >= 20.0.0, < 20.0.13 19.4.15, 20.0.13
  12. Data Flow Sanitation Issue Fix
    Alta CVE-2021-32759 < 19.4.15, >= 20.0.0, < 20.0.13 19.4.15, 20.0.13
  13. Backport for CVE-2021-21024 Blind SQLi from Magento 2
    Crítica · 9.1 CVE-2021-21427 < 19.4.13, >= 20.0.0, < 20.0.9 19.4.13, 20.0.9
  14. Fixes a bug in Zend Framework's Stream HTTP Wrapper
    Crítica · 9.8 CVE-2021-21426 < 19.4.13, >= 20.0.0, < 20.0.9 19.4.13, 20.0.9
  15. RCE via PHP Object injection via SOAP Requests
    Alta · 8.0 CVE-2020-15244 < 19.4.8, >= 20.0.0, < 20.0.4 19.4.8, 20.0.4
  16. Observable Timing Discrepancy in OpenMage LTS
    Alta · 8.0 CVE-2020-15151 < 19.4.6, >= 20.0.0, < 20.0.2 19.4.6, 20.0.2

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.