CVE-2026-42155 in magento-lts
Resumen
por VulDB • 2026-05-22
Magento Long Term Support (LTS) es un proyecto no oficial, impulsado por la comunidad, que ofrece una alternativa a la plataforma de comercio electrónico Magento Community Edition con un alto nivel de compatibilidad hacia atrás. Antes de la versión 20.18.0, el ID de sesión de la API XML-RPC / SOAP se generaba utilizando una construcción basada en el tiempo obsoleta, en lugar de un Generador de Números Pseudoaleatorios Criptográficamente Seguros (CSPRNG). Todas las entradas para el hash MD5 se derivan del tiempo y no son seguras. Dado que el resumen resultante depende completamente de la marca de tiempo y del estado interno de la LCG de PHP, la entropía efectiva está severamente restringida. Esto viola el requisito de la OWASP ASVS v4 de ≥ 64 bits de entropía (V3.2.2) y los estándares NIST SP 800-63B. Al reducir la ventana de la LCG (mediante fugas del estado del servidor o predictibilidad general) y aprovechar la falta de limitación de velocidad en la API, un atacante puede generar un conjunto localizado de hashes MD5 candidatos y ejecutar un ataque de fuerza bruta en línea de alta velocidad para secuestrar sesiones de API activas. Esta vulnerabilidad se corrige en la versión 20.18.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.