FICHE CVE

CVE-2026-42458

Publiée le 2026-05-15 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les versions Magento Long Term Support (LTS) antérieures à la version 20.18.0 sont affectées par une faille de cross-site scripting (XSS) réfléchie dans la section Dataflow Profiles du panneau d'administration. Un attaquant peut exécuter des scripts malveillants dans la session de navigation d'un administrateur, ce qui pourrait lui permettre de voler des cookies de session ou d'effectuer des actions non autorisées. Cette attaque nécessite un accès réseau et repose sur le fait d'inciter un administrateur connecté à cliquer sur un lien spécialement conçu à cet effet.

CVSS 4.05.3 MOYENNE

Type de faiblesse

CWE-87

Publiée2026-05-15

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Magento Long Term Support (LTS) is an unofficial, community-driven project provides an alternative to the Magento Community Edition e-commerce platform with a high level of backward compatibility. Prior to 20.18.0, there is a reflected XSS vulnerability under admin panel -> System -> Import/Export -> Dataflow - Profiles. This vulnerability is fixed in 20.18.0.