Krytyczna

Backport for CVE-2021-21024 Blind SQLi from Magento 2

Ujawniono: 22.04.2021
Aktualizacja: 11.10.2026 10:22

Impact

This vulnerability allows an administrator unauthorized access to restricted resources.

We fixed a vulnerability in the MySQL adapter to prevent SQL injection attacks. This is a backport of CVE-2021-21024 https://helpx.adobe.com/security/products/magento/apsb21-08.html.

Patches

Has the problem been patched? What versions should users upgrade to?

v20.0.9 v19.4.13

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka Composer	openmage/magento-lts	< 19.4.13, >= 20.0.0, < 20.0.9	19.4.13, 20.0.9

Odnośniki

Ocena CVSS 9.1/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Słabość (CWE): CWE-89
Platforma: Composer
Paczka: openmage/magento-lts
Ujawniono: 22.04.2021
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-fvrf-9428-527m - CC BY 4.0

Historia podatności: openmage/magento-lts

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (26) w archiwum

Wszystkich wpisów: 26
Pierwsza → ostatnia: 08.2020 05.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 3
Wysoka 12
Średnia 10
Niska 1

Ujawnienia w latach

2020: 2
2021: 4
2022: 0
2023: 8
2024: 2
2025: 2
2026: 8

05.05.2026

Magento LTS has Weak API Session ID — Predictable MD5 of Time-Derived Inputs

Krytyczna CVE-2026-42155 < 20.18.0 20.18.0
21.04.2026

OpenMage LTS: Customer File Upload Extension Blocklist Bypass → Remote Code Execution

Wysoka · 8.8 CVE-2026-40488 < 20.17.0 20.17.0
21.04.2026

OpenMage LTS: Phar Deserialization leads to Remote Code Execution

Wysoka · 8.1 CVE-2026-25524 < 20.17.0 20.17.0
08.12.2023

Magento LTS vulnerable to Stored XSS via TinyMCE WYSIWYG Editor

Wysoka · 7.5 ghsa-9j5w-2cqc-cwj9 < 20.2.0 20.2.0
11.09.2023

Magento LTS's guest order "protect code" can be brute-forced too easily

Wysoka · 7.5 CVE-2023-41879 < 19.5.1, >= 20.0.0, < 20.1.1 19.5.1, 20.1.1
27.01.2023

DataFlow upload remote code execution vulnerability

Wysoka · 7.2 CVE-2021-41231 < 19.4.22, >= 20.0.0, < 20.0.19 19.4.22, 20.0.19
27.01.2023

Fix for authenticated remote code execution through layout update

Wysoka · 8.8 CVE-2021-41144 < 19.4.22, >= 20.0.0, < 20.0.19 19.4.22, 20.0.19
27.01.2023

Fix for arbitrary file deletion in customer media allows for remote code execution

Wysoka · 7.2 CVE-2021-41143 < 19.4.22, >= 20.0.0, < 20.0.19 19.4.22, 20.0.19
27.01.2023

Fix for arbitrary command execution in custom layout update through blocks

Wysoka · 7.2 CVE-2021-39217 < 19.4.22, >= 20.0.0, < 20.0.19 19.4.22, 20.0.19
30.08.2021

Layout XML Arbitrary Code Fix

Wysoka CVE-2021-32758 < 19.4.15, >= 20.0.0, < 20.0.13 19.4.15, 20.0.13
30.08.2021

Data Flow Sanitation Issue Fix

Wysoka CVE-2021-32759 < 19.4.15, >= 20.0.0, < 20.0.13 19.4.15, 20.0.13
22.04.2021

Backport for CVE-2021-21024 Blind SQLi from Magento 2 ten wpis

Krytyczna · 9.1 CVE-2021-21427 < 19.4.13, >= 20.0.0, < 20.0.9 19.4.13, 20.0.9
22.04.2021

Fixes a bug in Zend Framework's Stream HTTP Wrapper

Krytyczna · 9.8 CVE-2021-21426 < 19.4.13, >= 20.0.0, < 20.0.9 19.4.13, 20.0.9
30.10.2020

RCE via PHP Object injection via SOAP Requests

Wysoka · 8.0 CVE-2020-15244 < 19.4.8, >= 20.0.0, < 20.0.4 19.4.8, 20.0.4
19.08.2020

Observable Timing Discrepancy in OpenMage LTS

Wysoka · 8.0 CVE-2020-15151 < 19.4.6, >= 20.0.0, < 20.0.2 19.4.6, 20.0.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację