CVE-2022-36432

Magento 2용 Amasty Blog Pro의 미리보기 기능에서 발생하는 교차 사이트 스크립팅(XSS)

설명

Magento 2용 Amasty Blog Pro 2.10.3 플러그인의 미리보기 기능은 eval을 안전하지 않게 사용합니다. 이로 인해 공격자는 생성된 미리보기 애플리케이션 응답을 조작하여 관리자 패널 사용자에 대한 교차 사이트 스크립팅 공격을 수행할 수 있습니다.

취약점은 blog/view/base/web/js/adminhtml/preview.js 파일에 존재합니다.

참조 자료에서 Magento 2에서 이와 유사한 문제를 해결한 사례를 확인할 수 있습니다.

영향을 받는 버전

< 2.10.5

권고

Magento 2용 Amasty Blog Pro를 2.10.5 이상으로 업데이트하세요.

참조

• https://github.com/magento/magento2/issues/377
• https://amasty.com/blog-pro-for-magento-2.html