p PatchFirst

CVE-2026-25523

CVE-2026-25523 · Magento's X-Original-Url header can expose admin url

This page contains facts from public vulnerability sources. Check the original advisory before updating.

Magento-lts is a long-term support alternative to Magento Community Edition (CE). Prior to version 20.16.1, the admin url can be discovered without prior knowledge of it's location by exploiting the X-Original-Url header on some configurations. This issue has been patched in version 20.16.1.

CVSS 5.3 · Medium · EPSS 0.3% · Fix available

Published
Updated

Stack: php

Affected products and versions

  • magento-lts

    Versions
    • < 20.16.1: Affected

    No fix published

  • openmage/magento-lts Packagist

    Versions
    • 1.9.1.1
    • 1.9.2.0
    • 1.9.2.1
    • 1.9.2.2
    • 1.9.2.3
    • 1.9.2.4
    • 1.9.3.0
    • 1.9.3.1
    • v19.4.0
    • v19.4.1
    • v19.4.10
    • v19.4.11
    • v19.4.12
    • v19.4.13
    • v19.4.14
    • v19.4.15
    • v19.4.16
    • v19.4.17
    • v19.4.18
    • v19.4.19
    • v19.4.2
    • v19.4.20
    • v19.4.21
    • v19.4.22
    • v19.4.23
    • v19.4.3
    • v19.4.4
    • v19.4.5
    • v19.4.6
    • v19.4.7
    • v19.4.8
    • v19.4.9
    • v19.5.0
    • v19.5.0-rc1
    • v19.5.0-rc2
    • v19.5.0-rc3
    • v19.5.0-rc4
    • v19.5.0-rc5
    • v19.5.1
    • v19.5.2
    • v19.5.3
    • v20.0.0
    • v20.0.1
    • v20.0.10
    • v20.0.11
    • v20.0.12
    • v20.0.13
    • v20.0.14
    • v20.0.15
    • v20.0.16
    • v20.0.17
    • v20.0.18
    • v20.0.19
    • v20.0.2
    • v20.0.20
    • v20.0.3
    • v20.0.4
    • v20.0.5
    • v20.0.6
    • v20.0.7
    • v20.0.8
    • v20.1.0
    • v20.1.0-rc1
    • v20.1.0-rc2
    • v20.1.0-rc3
    • v20.1.0-rc4
    • v20.1.0-rc5
    • v20.1.0-rc6
    • v20.1.0-rc7
    • v20.1.1
    • v20.10.0
    • v20.10.1
    • v20.10.2
    • v20.11.0
    • v20.12.0
    • v20.12.1
    • v20.12.2
    • v20.12.3
    • v20.13.0
    • v20.14.0
    • v20.15.0
    • v20.16.0
    • v20.2.0
    • v20.3.0
    • v20.4.0
    • v20.5.0
    • v20.6.0
    • v20.7.0
    • v20.8.0
    • v20.9.0
    Affected ranges
    • ECOSYSTEM: < 20.16.1

    Update to 20.16.1

Original sources

Check your server →