Magento Enterprise Edition和Magento... CVE-2016-2212 CNNVD-201604-335
5.0
AV
AC
AU
C
I
A
发布：
2016-04-15
修订：
2018-10-09
Magento是美国Magento公司的一套开源的PHP电子商务系统，它提供权限管理、搜索引擎和支付网关等功能。Magento Enterprise Edition（EE）是一个企业版。Magento Community Edition（CE）是一个社区版。 Magento EE 1.14.2.3之前版本和Magento CE 1.9.2.3之前版本的app/code/core/Mage/Rss/Helper/Order.php文件中的Mage_Rss_Helper_Order类中的‘getOrderByStatusUrlKey’函数存在安全漏洞，该漏洞源于index.php/rss/order/status URI没有充分过滤RSS feed请求中的‘data’参数。远程攻击者可借助该参数的JSON对象中的‘order_id’字段利用该漏洞获取敏感的订单信息。
漏洞利用/PoC
暂无可用Exp或PoC
受影响的平台与产品
当前有2条受影响产品信息
