BDU:2021-01540

Средний

BDU:2021-01540: Уязвимость программной платформы для разработки и управления онлайн магазинами Magento Commerce, связанная с непринятием мер по защите структуры веб-страницы, позволяющая нарушителю выполнить произвольный код

CVSS v34.8

CVSS v24.9

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость программной платформы для разработки и управления онлайн магазинами Magento Commerce связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код в контексте текущего пользователя

Что делать с BDU:2021-01540

Уязвимость среднего уровня (CVSS 4.8) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

4.8Средний

Пересчитать →

4.9

Только просмотр

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:NAV:N/AC:M/Au:S/C:P/I:P/A:N

CWE — тип уязвимости

CWE-79

CVE — международный идентификатор

CVE-2021-21029

CWE-79

Межсайтовый скриптинг (XSS)

Позволяет внедрить вредоносный JavaScript-код в веб-страницу, который выполнится в браузере жертвы. Приводит к краже cookies, перенаправлению, подмене контента.

Как атакуют и что делать ▾

Сценарий атаки

Злоумышленник внедряет JavaScript через форму поиска или URL-параметр. При открытии страницы жертвой скрипт выполняется в контексте её сессии.

Последствия

Кража cookies и токенов сессии, перенаправление на фишинг, подмена контента страницы.

Рекомендации

Экранируйте вывод (output encoding), настройте Content-Security-Policy заголовки, валидируйте ввод на сервере.

Тактики и техники

Инъекция

Уязвимое ПО (6)

Вендор	Название	Версия	Платформа
Adobe Systems Inc.	Magento Commerce	до 2.3.6-p1	Не указана
Adobe Systems Inc.	Magento Commerce	до 2.4.1-p1	Не указана
Adobe Systems Inc.	Magento Commerce	до 2.4.2	Не указана
Adobe Systems Inc.	Magento Open Source	до 2.3.6-p1	Не указана
Adobe Systems Inc.	Magento Open Source	до 2.4.1-p1	Не указана
Adobe Systems Inc.	Magento Open Source	до 2.4.2	Не указана

Источники (1)

https://helpx.adobe.com/security/products/magento/apsb21-08.html https://nvd.ni…

SLA ФСТЭК №117

30 дней

по базовой оценке CVSS 4.8

Уточните SLA под вашу среду

Базовый балл 4.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Немедленно устранить

Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.

EPSS — вероятность эксплуатации84.7%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2021-02-09

Опубликована

2021-03-25

Обновлена

2021-03-25

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

Уязвимости → активы → ответственные — цепочка за минуту
SLA-таймеры и эскалация — дедлайны не горят
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2021-21029 MITRE: CWE-79 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК