شرکت نرم‌افزاری ادوبی با انتشار به‌روزرسانی‌هایی برای نسخههای Commerce و Open Source سیستم مدیریت محتوای Magento، از وصله‌کردن چندین آسیب‌پذیری بحرانی، که می‌توانند به اجرای کد دلخواه منجر شوند، خبر داد. در مجموع، شش آسیب‌پذیری بحرانی در این بستر تجارت الکترونیکی محبوب وصله شده که برای بهره‌برداری موفق از آن‌ها، نیازی به احراز هویت نیست.
تمامی این آسیبپذیریها می‌توانند برای اجرای کد در سیستم‌های آسیب‌پذیر مورد بهره‌برداری قرار بگیرند. این آسیبپذیریها شامل چهار اشکال تزریق فرمان (CVE-2020-9576، CVE-2020-9578، CVE-2020-9582 و CVE-2020-9583) و دو اشکال security mitigation bypass (CVE-2020-9579 و CVE-2020-9580) هستند.
به‌روزرسانی‌های جدید Magento شامل وصله‌هایی برای چهار آسیب‌پذیری با شدت مهم نیز می‌باشد. سه مورد از این آسیبپذیریها (CVE-2020-9577، CVE-2020-9581 و CVE-2020-9584) از نوع اسکریپت‌نویسی متقابل ذخیره‌شده هستند که منجر به افشای اطلاعات حساس می‌شوند، درحالی‌که آسیب‌پذیری چهارم (CVE-2020-9588)، یک اشکال Observable Timing Discrepancy است که منجر به دورزدن تأیید امضا می‌شود.
علاوه‌براین، ادوبی وصله‌هایی را نیز برای سه آسیب‌پذیری با شدت متوسط منتشر کرده است. این آسیبپذیریها شامل دو اشکال defense-in-depth security mitigation (CVE-2020-9585 و CVE-2020-9591) بوده که به‌ترتیب، منجر به اجرای کد و دسترسی غیرمجاز به پنل مدیریت می‌شوند. آسیب‌پذیری سوم (CVE-2020-9587) نیز یک اشکال دورزدن مجوز است که می‌تواند با هدف اعمال تخفیف‌های غیرمجاز برای محصولات (unauthorized product discounts) مورد بهره‌برداری قرار بگیرد.
این اشکال‌ها با انتشار نسخههای ۲٫۳٫۴٫p2 و ۲٫۳٫۵٫p1 برای Magento Commerce و Magento Open Source، نسخه‌ی ۱٫۱۴٫۴٫۵ برای Magento Enterprise Edition و نسخه‌ی ۱٫۹٫۴٫۵ برای Magento Community Edition وصله شده‌اند. به‌تازگی، ادوبی چندین آسیب‌پذیری بحرانی موجود در محصولات Bridge و Illustrator خود را نیز وصله کرده بود.
