https://blog.qife122.com/tags/magento/ Recent content in Magento on 办公AI智能小助手 Hugo zh-cn qife Thu, 01 Jan 2026 20:25:46 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E5%89%96%E6%9E%90magento-cve-2025-54236%E8%BF%9C%E7%A8%8B%E4%BB%A3%E7%A0%81%E6%89%A7%E8%A1%8C%E6%BC%8F%E6%B4%9E%E5%8F%8Apoc%E5%88%A9%E7%94%A8/ Thu, 01 Jan 2026 20:25:46 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E5%89%96%E6%9E%90magento-cve-2025-54236%E8%BF%9C%E7%A8%8B%E4%BB%A3%E7%A0%81%E6%89%A7%E8%A1%8C%E6%BC%8F%E6%B4%9E%E5%8F%8Apoc%E5%88%A9%E7%94%A8/ <h1 id="cve-2025-54236magento会话收割者远程代码执行漏洞">CVE-2025-54236：Magento会话收割者远程代码执行漏洞</h1> <h2 id="项目概述">项目概述</h2> <p>此GitHub仓库提供了针对CVE-2025-54236漏洞的概念验证（PoC）代码。该漏洞存在于Magento电商平台中，可能导致远程代码执行（RCE）。仓库包含多个利用脚本和辅助工具。</p> https://blog.qife122.com/p/magento-api%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90cve-2021-36042%E6%8A%80%E6%9C%AF%E8%AF%A6%E8%A7%A3/ Tue, 25 Nov 2025 22:58:52 +0800 https://blog.qife122.com/p/magento-api%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90cve-2021-36042%E6%8A%80%E6%9C%AF%E8%AF%A6%E8%A7%A3/ <h2 id="漏洞详情">漏洞详情</h2> <h3 id="受影响版本">受影响版本</h3> <p><strong>Magento Commerce</strong></p> <ul> <li>2.4.2及更早版本</li> <li>2.4.2-p1及更早版本</li> <li>2.3.7及更早版本</li> </ul> <h3 id="补丁版本">补丁版本</h3> <ul> <li>2.4.2-p2</li> <li>2.3.7-p1</li> </ul> <h2 id="技术描述">技术描述</h2> <p>Magento Commerce受影响版本在API文件选项上传扩展中存在不当输入验证漏洞。具有管理员权限的攻击者可以实现无限制文件上传，最终导致远程代码执行。</p> https://blog.qife122.com/p/magento-dotmailer%E6%89%A9%E5%B1%95%E4%B8%AD%E7%9A%84%E7%9B%B2ssrf%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ Tue, 25 Nov 2025 14:10:44 +0800 https://blog.qife122.com/p/magento-dotmailer%E6%89%A9%E5%B1%95%E4%B8%AD%E7%9A%84%E7%9B%B2ssrf%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ <h2 id="漏洞详情">漏洞详情</h2> <h3 id="受影响版本">受影响版本</h3> <p><strong>composer magento/community-edition (Composer)</strong></p> <ul> <li>受影响版本：&lt; 2.3.7-p1、= 2.3.7、&gt;= 2.4.2-p1, &lt; 2.4.2-p2、= 2.4.2</li> <li>已修复版本：2.3.7-p1、2.4.2-p2</li> </ul> <p><strong>composer magento/project-community-edition (Composer)</strong></p> https://blog.qife122.com/p/magento-api%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90cve-2021-36042%E6%8A%80%E6%9C%AF%E8%AF%A6%E8%A7%A3/ Mon, 24 Nov 2025 05:47:16 +0800 https://blog.qife122.com/p/magento-api%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90cve-2021-36042%E6%8A%80%E6%9C%AF%E8%AF%A6%E8%A7%A3/ <h2 id="漏洞详情">漏洞详情</h2> <h3 id="受影响版本">受影响版本</h3> <p><strong>composer magento/community-edition (Composer)</strong></p> <ul> <li>受影响版本： <ul> <li>= 2.4.2</li> <li> <blockquote> <p>= 2.4.2-p1, &lt; 2.4.2-p2</p> </blockquote> </li> <li>= 2.3.7</li> <li>&lt; 2.3.7-p1</li> </ul> </li> <li>已修复版本： <ul> <li>2.4.2-p2</li> <li>2.3.7-p1</li> </ul> </li> </ul> <p><strong>composer magento/project-community-edition (Composer)</strong></p> <ul> <li>受影响版本：&lt;= 2.0.2</li> <li>已修复版本：无</li> </ul> <h3 id="漏洞描述">漏洞描述</h3> <p>Magento Commerce版本2.4.2（及更早版本）、2.4.2-p1（及更早版本）和2.3.7（及更早版本）受到API文件选项上传扩展中不当输入验证漏洞的影响。具有管理员权限的攻击者可以实现无限制文件上传，从而导致远程代码执行。</p> https://blog.qife122.com/p/magento-graphql%E5%AD%97%E6%AE%B5%E5%BC%95%E5%8F%91%E7%9A%84%E6%9C%8D%E5%8A%A1%E5%99%A8%E7%AB%AF%E6%8B%92%E7%BB%9D%E6%9C%8D%E5%8A%A1%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ Mon, 24 Nov 2025 00:57:44 +0800 https://blog.qife122.com/p/magento-graphql%E5%AD%97%E6%AE%B5%E5%BC%95%E5%8F%91%E7%9A%84%E6%9C%8D%E5%8A%A1%E5%99%A8%E7%AB%AF%E6%8B%92%E7%BB%9D%E6%9C%8D%E5%8A%A1%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ <h1 id="magento受graphql字段影响的服务器端拒绝服务漏洞">Magento受GraphQL字段影响的服务器端拒绝服务漏洞</h1> <h2 id="漏洞概述">漏洞概述</h2> <p><strong>CVE-2021-36044</strong>是一个影响Magento Commerce的高危漏洞，攻击者可以通过滥用GraphQL字段导致服务器端拒绝服务。</p> https://blog.qife122.com/p/magento-dotmailer%E6%89%A9%E5%B1%95%E4%B8%AD%E7%9A%84%E7%9B%B2ssrf%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ Thu, 20 Nov 2025 17:39:37 +0800 https://blog.qife122.com/p/magento-dotmailer%E6%89%A9%E5%B1%95%E4%B8%AD%E7%9A%84%E7%9B%B2ssrf%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ <h2 id="漏洞详情">漏洞详情</h2> <p>Magento Commerce版本2.4.2（及更早版本）、2.4.2-p1（及更早版本）和2.3.7（及更早版本）中捆绑的dotmailer扩展存在盲SSRF漏洞。具有管理员权限的攻击者可利用此漏洞在启用Redis时实现远程代码执行。</p> https://blog.qife122.com/p/magento-xml%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90widgets%E6%A8%A1%E5%9D%97%E5%AE%89%E5%85%A8%E9%A3%8E%E9%99%A9%E8%AF%A6%E8%A7%A3/ Sun, 09 Nov 2025 17:33:25 +0800 https://blog.qife122.com/p/magento-xml%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90widgets%E6%A8%A1%E5%9D%97%E5%AE%89%E5%85%A8%E9%A3%8E%E9%99%A9%E8%AF%A6%E8%A7%A3/ <h1 id="cve-2021-36033magento-xml注入漏洞分析">CVE-2021-36033：Magento XML注入漏洞分析</h1> <h2 id="漏洞概述">漏洞概述</h2> <p>Magento Commerce 2.4.2（及更早版本）、2.4.2-p1（及更早版本）和2.3.7（及更早版本）的Widgets模块中存在XML注入漏洞。具有管理员权限的攻击者可以触发特制脚本，实现远程代码执行。</p> https://blog.qife122.com/p/magento%E6%8E%88%E6%9D%83%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90cve-2021-36029%E6%8A%80%E6%9C%AF%E8%AF%A6%E8%A7%A3/ Sun, 09 Nov 2025 12:11:03 +0800 https://blog.qife122.com/p/magento%E6%8E%88%E6%9D%83%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90cve-2021-36029%E6%8A%80%E6%9C%AF%E8%AF%A6%E8%A7%A3/ <h2 id="漏洞详情">漏洞详情</h2> <h3 id="受影响版本">受影响版本</h3> <p><strong>Magento Commerce</strong></p> <ul> <li>2.4.2及更早版本</li> <li>2.4.2-p1及更早版本</li> <li>2.3.7及更早版本</li> </ul> <h3 id="补丁版本">补丁版本</h3> <ul> <li>2.3.7-p1</li> <li>2.4.2-p2</li> </ul> <h3 id="漏洞描述">漏洞描述</h3> <p>Magento Commerce存在权限验证不当漏洞。拥有管理员权限的攻击者可利用此漏洞实现远程代码执行。</p> https://blog.qife122.com/p/magento-xml%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90widgets%E6%A8%A1%E5%9D%97%E5%AE%89%E5%85%A8%E9%A3%8E%E9%99%A9%E8%AF%A6%E8%A7%A3/ Sun, 09 Nov 2025 05:06:44 +0800 https://blog.qife122.com/p/magento-xml%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90widgets%E6%A8%A1%E5%9D%97%E5%AE%89%E5%85%A8%E9%A3%8E%E9%99%A9%E8%AF%A6%E8%A7%A3/ <h1 id="magento-xml注入漏洞分析widgets模块安全风险">Magento XML注入漏洞分析：Widgets模块安全风险</h1> <h2 id="漏洞概述">漏洞概述</h2> <p><strong>CVE-2021-36033</strong> 是一个影响Magento Commerce的XML注入漏洞，存在于Widgets模块中。该漏洞被评定为<strong>严重级别</strong>。</p> https://blog.qife122.com/p/magento%E6%8E%88%E6%9D%83%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B4%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E5%88%86%E6%9E%90/ Mon, 03 Nov 2025 15:00:56 +0800 https://blog.qife122.com/p/magento%E6%8E%88%E6%9D%83%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B4%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E5%88%86%E6%9E%90/ <h1 id="cve-2025-43585magento授权不当导致安全功能绕过">CVE-2025-43585：Magento授权不当导致安全功能绕过</h1> <h2 id="漏洞详情">漏洞详情</h2> <h3 id="受影响版本">受影响版本</h3> <p><strong>Magento/community-edition (Composer)</strong></p> <ul> <li> <blockquote> <p>= 2.4.7-beta1, &lt; 2.4.7-p6</p> </blockquote> </li> <li> <blockquote> <p>= 2.4.6-p1, &lt; 2.4.6-p11</p> </blockquote> </li> <li>&lt; 2.4.5-p13</li> <li>= 2.4.5</li> <li>= 2.4.6</li> <li>= 2.4.7</li> <li>= 2.4.8</li> </ul> <p><strong>Magento/project-community-edition (Composer)</strong></p> <ul> <li>&lt;= 2.0.2</li> </ul> <h3 id="已修复版本">已修复版本</h3> <ul> <li>2.4.7-p6</li> <li>2.4.6-p11</li> <li>2.4.5-p13</li> </ul> <h2 id="漏洞描述">漏洞描述</h2> <p>Magento 2.4.8、2.4.7-p5、2.4.6-p10、2.4.5-p12、2.4.4-p13及更早版本存在授权不当漏洞，可能导致安全功能被绕过。攻击者可利用此漏洞绕过安全措施并获得未授权访问，对机密性造成有限影响，但对完整性造成高风险影响。利用此漏洞无需用户交互。</p> https://blog.qife122.com/p/magento%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ Thu, 30 Oct 2025 21:34:26 +0800 https://blog.qife122.com/p/magento%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ <h2 id="漏洞详情">漏洞详情</h2> <h3 id="包信息">包信息</h3> <ul> <li><strong>包管理器</strong>: Composer</li> <li><strong>受影响包</strong>: <ul> <li>magento/community-edition</li> <li>magento/project-community-edition</li> </ul> </li> </ul> <h3 id="受影响版本">受影响版本</h3> <p><strong>magento/community-edition</strong>:</p> <ul> <li> <blockquote> <p>= 2.4.7-beta1, &lt; 2.4.7-p6</p> </blockquote> </li> <li> <blockquote> <p>= 2.4.6-p1, &lt; 2.4.6-p11</p> </blockquote> </li> <li>&lt; 2.4.5-p13</li> <li>= 2.4.5</li> <li>= 2.4.6</li> <li>= 2.4.7</li> <li>= 2.4.8</li> </ul> <p><strong>magento/project-community-edition</strong>:</p> <ul> <li>&lt;= 2.0.2</li> </ul> <h3 id="已修复版本">已修复版本</h3> <ul> <li>2.4.7-p6</li> <li>2.4.6-p11</li> <li>2.4.5-p13</li> </ul> <h2 id="漏洞描述">漏洞描述</h2> <p>Magento版本2.4.8、2.4.7-p5、2.4.6-p10、2.4.5-p12、2.4.4-p13及更早版本受到不正确的授权漏洞影响，可能导致安全功能绕过。高权限攻击者可利用此漏洞绕过安全措施并获得有限的未授权访问。利用此漏洞不需要用户交互。</p> https://blog.qife122.com/p/magento%E8%AE%BF%E9%97%AE%E6%8E%A7%E5%88%B6%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B4%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E5%88%86%E6%9E%90/ Mon, 27 Oct 2025 09:15:46 +0800 https://blog.qife122.com/p/magento%E8%AE%BF%E9%97%AE%E6%8E%A7%E5%88%B6%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B4%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E5%88%86%E6%9E%90/ <h1 id="magento不当访问控制导致安全功能绕过--cve-2025-27206">Magento不当访问控制导致安全功能绕过 · CVE-2025-27206</h1> <h2 id="漏洞详情">漏洞详情</h2> <h3 id="受影响版本">受影响版本</h3> <p><strong>composer magento/community-edition (Composer)</strong></p> <ul> <li> <blockquote> <p>= 2.4.7-beta1, &lt; 2.4.7-p6</p> </blockquote> </li> <li> <blockquote> <p>= 2.4.6-p1, &lt; 2.4.6-p11</p> </blockquote> </li> <li>&lt; 2.4.5-p13</li> <li>= 2.4.5</li> <li>= 2.4.6</li> <li>= 2.4.7</li> <li>= 2.4.8</li> </ul> <p><strong>composer magento/project-community-edition (Composer)</strong></p> <ul> <li>&lt;= 2.0.2</li> </ul> <h3 id="已修复版本">已修复版本</h3> <ul> <li>2.4.7-p6</li> <li>2.4.6-p11</li> <li>2.4.5-p13</li> </ul> <h2 id="漏洞描述">漏洞描述</h2> <p>Adobe Commerce版本2.4.8、2.4.7-p5、2.4.6-p10、2.4.5-p12、2.4.4-p13及更早版本受到不当访问控制漏洞的影响，可能导致安全功能被绕过。攻击者可利用此漏洞绕过安全措施并获得有限的写入权限。利用此漏洞不需要用户交互。</p> https://blog.qife122.com/p/magento%E6%8E%88%E6%9D%83%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B4%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E5%88%86%E6%9E%90/ Sat, 25 Oct 2025 07:35:42 +0800 https://blog.qife122.com/p/magento%E6%8E%88%E6%9D%83%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B4%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E5%88%86%E6%9E%90/ <h1 id="magento授权漏洞导致安全功能绕过">Magento授权漏洞导致安全功能绕过</h1> <h2 id="漏洞详情">漏洞详情</h2> <p><strong>包名称</strong>: composer/magento/community-edition (Composer)</p> <p><strong>受影响版本</strong>:</p> <ul> <li> <blockquote> <p>= 2.4.7-beta1, &lt; 2.4.7-p6</p> </blockquote> </li> <li> <blockquote> <p>= 2.4.6-p1, &lt; 2.4.6-p11</p> </blockquote> </li> <li>&lt; 2.4.5-p13</li> <li>= 2.4.5</li> <li>= 2.4.6</li> <li>= 2.4.7</li> <li>= 2.4.8</li> </ul> <p><strong>已修复版本</strong>:</p> <ul> <li>2.4.7-p6</li> <li>2.4.6-p11</li> <li>2.4.5-p13</li> </ul> <h2 id="漏洞描述">漏洞描述</h2> <p>Magento 2.4.8、2.4.7-p5、2.4.6-p10、2.4.5-p12、2.4.4-p13及更早版本受到授权不当漏洞的影响，可能导致安全功能被绕过。攻击者可利用此漏洞绕过安全措施并获得未授权访问，对机密性造成有限影响，但对完整性造成高风险影响。利用此漏洞不需要用户交互。</p> https://blog.qife122.com/p/magento%E8%AE%A4%E8%AF%81%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ Sat, 25 Oct 2025 02:53:48 +0800 https://blog.qife122.com/p/magento%E8%AE%A4%E8%AF%81%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ <h1 id="magento认证安全功能绕过漏洞分析">Magento认证安全功能绕过漏洞分析</h1> <h2 id="漏洞详情">漏洞详情</h2> <h3 id="包信息">包信息</h3> <ul> <li><strong>包管理器</strong>: Composer</li> <li><strong>受影响包</strong>: <ul> <li>magento/community-edition</li> <li>magento/project-community-edition</li> </ul> </li> </ul> <h3 id="受影响版本">受影响版本</h3> <p><strong>magento/community-edition</strong>:</p> <ul> <li> <blockquote> <p>= 2.4.7-beta1, &lt; 2.4.7-p6</p> </blockquote> </li> <li> <blockquote> <p>= 2.4.6-p1, &lt; 2.4.6-p11</p> </blockquote> </li> <li>&lt; 2.4.5-p13</li> <li>= 2.4.5</li> <li>= 2.4.6</li> <li>= 2.4.7</li> <li>= 2.4.8</li> </ul> <p><strong>magento/project-community-edition</strong>:</p> <ul> <li>&lt;= 2.0.2</li> </ul> <h3 id="已修复版本">已修复版本</h3> <ul> <li>2.4.7-p6</li> <li>2.4.6-p11</li> <li>2.4.5-p13</li> </ul> <h2 id="漏洞描述">漏洞描述</h2> <p>Magento版本2.4.8、2.4.7-p5、2.4.6-p10、2.4.5-p12、2.4.4-p13及更早版本受到不正确的授权漏洞影响，可能导致安全功能绕过。高权限攻击者可利用此漏洞绕过安全措施并获得有限的未授权访问。利用此漏洞不需要用户交互。</p> https://blog.qife122.com/p/magento%E8%AE%BF%E9%97%AE%E6%8E%A7%E5%88%B6%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B4%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E5%88%86%E6%9E%90/ Fri, 24 Oct 2025 16:24:45 +0800 https://blog.qife122.com/p/magento%E8%AE%BF%E9%97%AE%E6%8E%A7%E5%88%B6%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B4%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E5%88%86%E6%9E%90/ <h2 id="漏洞详情">漏洞详情</h2> <h3 id="受影响版本">受影响版本</h3> <p><strong>Magento Community Edition (Composer)</strong></p> <ul> <li> <blockquote> <p>= 2.4.7-beta1, &lt; 2.4.7-p6</p> </blockquote> </li> <li> <blockquote> <p>= 2.4.6-p1, &lt; 2.4.6-p11</p> </blockquote> </li> <li>&lt; 2.4.5-p13</li> <li>= 2.4.5</li> <li>= 2.4.6</li> <li>= 2.4.7</li> <li>= 2.4.8</li> </ul> <p><strong>Magento Project Community Edition (Composer)</strong></p> <ul> <li>&lt;= 2.0.2</li> </ul> <h3 id="已修复版本">已修复版本</h3> <ul> <li>2.4.7-p6</li> <li>2.4.6-p11</li> <li>2.4.5-p13</li> </ul> <h2 id="漏洞描述">漏洞描述</h2> <p>Adobe Commerce版本2.4.8、2.4.7-p5、2.4.6-p10、2.4.5-p12、2.4.4-p13及更早版本受到不当访问控制漏洞的影响，可能导致安全功能被绕过。攻击者可利用此漏洞绕过安全措施并获得有限的写入权限。利用此漏洞不需要用户交互。</p> https://blog.qife122.com/p/magento%E6%8E%88%E6%9D%83%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B4%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E5%88%86%E6%9E%90/ Thu, 23 Oct 2025 19:06:45 +0800 https://blog.qife122.com/p/magento%E6%8E%88%E6%9D%83%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B4%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E5%88%86%E6%9E%90/ <h1 id="magento不当授权导致安全功能绕过--cve-2025-43585">Magento不当授权导致安全功能绕过 · CVE-2025-43585</h1> <h2 id="漏洞详情">漏洞详情</h2> <h3 id="受影响版本">受影响版本</h3> <p><strong>composer magento/community-edition (Composer)</strong></p> <ul> <li> <blockquote> <p>= 2.4.7-beta1, &lt; 2.4.7-p6</p> </blockquote> </li> <li> <blockquote> <p>= 2.4.6-p1, &lt; 2.4.6-p11</p> </blockquote> </li> <li>&lt; 2.4.5-p13</li> <li>= 2.4.5</li> <li>= 2.4.6</li> <li>= 2.4.7</li> <li>= 2.4.8</li> </ul> <p><strong>composer magento/project-community-edition (Composer)</strong></p> <ul> <li>&lt;= 2.0.2</li> </ul> <h3 id="已修复版本">已修复版本</h3> <ul> <li>2.4.7-p6</li> <li>2.4.6-p11</li> <li>2.4.5-p13</li> </ul> <h2 id="漏洞描述">漏洞描述</h2> <p>Magento 2.4.8、2.4.7-p5、2.4.6-p10、2.4.5-p12、2.4.4-p13及更早版本受到不当授权漏洞的影响，可能导致安全功能被绕过。攻击者可利用此漏洞绕过安全措施并获得未授权访问权限，对机密性造成有限影响，但对完整性造成高风险影响。利用此漏洞不需要用户交互。</p> https://blog.qife122.com/p/magento%E8%AE%A4%E8%AF%81%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ Thu, 23 Oct 2025 18:47:39 +0800 https://blog.qife122.com/p/magento%E8%AE%A4%E8%AF%81%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ <h1 id="magento认证安全功能绕过漏洞分析">Magento认证安全功能绕过漏洞分析</h1> <h2 id="漏洞详情">漏洞详情</h2> <p><strong>CVE ID</strong>: CVE-2025-49549</p> <p><strong>漏洞类型</strong>: 不正确的授权</p> <p><strong>严重程度</strong>: 低危</p> <p><strong>CVSS评分</strong>: 2.7/10</p> <h2 id="受影响版本">受影响版本</h2> <h3 id="magentocommunity-edition-composer">magento/community-edition (Composer)</h3> <p><strong>受影响版本</strong>:</p> <ul> <li> <blockquote> <p>= 2.4.7-beta1, &lt; 2.4.7-p6</p> </blockquote> </li> <li> <blockquote> <p>= 2.4.6-p1, &lt; 2.4.6-p11</p> </blockquote> </li> <li>&lt; 2.4.5-p13</li> <li>= 2.4.5</li> <li>= 2.4.6</li> <li>= 2.4.7</li> <li>= 2.4.8</li> </ul> <p><strong>已修复版本</strong>:</p> <ul> <li>2.4.7-p6</li> <li>2.4.6-p11</li> <li>2.4.5-p13</li> </ul> <h3 id="magentoproject-community-edition-composer">magento/project-community-edition (Composer)</h3> <p><strong>受影响版本</strong>: &lt;= 2.0.2</p> https://blog.qife122.com/p/magento%E8%AE%BF%E9%97%AE%E6%8E%A7%E5%88%B6%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B4%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E5%88%86%E6%9E%90/ Thu, 23 Oct 2025 17:52:03 +0800 https://blog.qife122.com/p/magento%E8%AE%BF%E9%97%AE%E6%8E%A7%E5%88%B6%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B4%E5%AE%89%E5%85%A8%E5%8A%9F%E8%83%BD%E7%BB%95%E8%BF%87%E5%88%86%E6%9E%90/ <h1 id="cve-2025-27206magento不当访问控制导致安全功能绕过">CVE-2025-27206：Magento不当访问控制导致安全功能绕过</h1> <h2 id="漏洞详情">漏洞详情</h2> <h3 id="受影响版本">受影响版本</h3> <p><strong>Magento社区版（Composer包）</strong></p> <ul> <li> <blockquote> <p>= 2.4.7-beta1, &lt; 2.4.7-p6</p> </blockquote> </li> <li> <blockquote> <p>= 2.4.6-p1, &lt; 2.4.6-p11</p> </blockquote> </li> <li>&lt; 2.4.5-p13</li> <li>= 2.4.5</li> <li>= 2.4.6</li> <li>= 2.4.7</li> <li>= 2.4.8</li> </ul> <p><strong>Magento项目社区版（Composer包）</strong></p> <ul> <li>&lt;= 2.0.2</li> </ul> <h3 id="已修复版本">已修复版本</h3> <ul> <li>2.4.7-p6</li> <li>2.4.6-p11</li> <li>2.4.5-p13</li> </ul> <h2 id="漏洞描述">漏洞描述</h2> <p>Adobe Commerce版本2.4.8、2.4.7-p5、2.4.6-p10、2.4.5-p12、2.4.4-p13及更早版本受到不当访问控制漏洞的影响，可能导致安全功能被绕过。攻击者可利用此漏洞绕过安全措施并获得有限的写入权限。利用此漏洞不需要用户交互。</p>