Gespeichertes Cross-Site-Scripting in Adobe Commerce ermöglicht Angreifern mit geringen Rechten die Übernahme von Konten (CVE-2026-92911)

Was passiert ist

Adobe Commerce ist von einer gespeicherten Cross-Site-Scripting-Schwachstelle (XSS) betroffen. Ein Angreifer mit geringen Rechten kann schädliches JavaScript in anfällige Formularfelder einschleusen. Ruft ein Opfer später die Seite mit dem entsprechenden Feld auf, wird das Skript im Browser des Opfers ausgeführt. Adobe beschreibt das mögliche Ergebnis als erweiterte Zugriffsrechte oder Kontrolle über das Konto oder die Sitzung des Opfers.

Der CVSS-3.1-Vektor zeigt, dass der Angriff über das Netzwerk mit geringer Komplexität erreichbar ist, geringe Rechte und eine gewisse Benutzerinteraktion erfordert und einen geänderten Scope mit hohen Auswirkungen auf Vertraulichkeit und Integrität aufweist; die Verfügbarkeit ist nicht beeinträchtigt. Zum Zeitpunkt der Erstellung dieses Beitrags weist der CVE-Eintrag weder eine öffentliche Offenlegung noch eine aktive Ausnutzung aus.

Wer betroffen ist

Betroffen sind Versionen von Adobe Commerce bis einschließlich 2.4.9-2026-sep, 2.4.8-2026-sep, 2.4.7-2026-sep, 2.4.6-2026-sep, 2.4.5-2026-sep und 2.4.4-2026-sep. Ebenfalls betroffen sind Versionen von Adobe Commerce B2B bis einschließlich 1.5.3-2026-sep, 1.5.2-2026-sep, 1.4.2-2026-sep, 1.3.4-2026-sep und 1.3.3-2026-sep. Für Magento Open Source sind die Versionen bis einschließlich 2.4.9-2026-sep, 2.4.8-2026-sep und 2.4.7-2026-sep betroffen. Commerce und Magento sind öffentlich zugängliche E-Commerce-Plattformen; betroffen sind Storefront- und Admin-Installationen auf diesen Versionslinien.

Was jetzt zu tun ist

1. Spielen Sie die korrigierte Version für Ihr Produkt ein. Adobe hat die Builds vom Oktober 2026 veröffentlicht: Adobe Commerce 2.4.4-2026-oct, 2.4.5-2026-oct, 2.4.6-2026-oct, 2.4.7-2026-oct, 2.4.8-2026-oct, 2.4.9-2026-oct und 2.4.10-alpha1; Adobe Commerce B2B 1.5.4-alpha1, 1.5.3-2026-oct, 1.5.2-2026-oct, 1.4.2-2026-oct, 1.3.4-2026-oct und 1.3.3-2026-oct; Magento Open Source 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct und 2.4.7-2026-oct.
2. Priorisieren Sie Storefronts und den Admin-Zugriff. Eine kompromittierte Admin-Sitzung kann Angreifern erweiterte Kontrolle verschaffen.
3. Für diese CVE ist keine Problemumgehung aufgeführt. Bis das Update eingespielt ist, schränken Sie die Eingabe von Inhalten durch Benutzer mit geringen Rechten ein und überprüfen Sie gespeicherte Felder.

Wie man es erkennt

Für diese CVE sind keine herstellerseitigen Kompromittierungsindikatoren aufgeführt. Überprüfen Sie als praktische Maßnahme gespeicherte Formularfelder und nutzergenerierte Inhalte auf unerwartetes JavaScript oder HTML und gehen Sie erhöhten Aktivitäten von Admin-Sitzungen nach, die sich nicht erklären lassen.

Über den Patch hinaus

Gespeichertes XSS in einer E-Commerce-Plattform erinnert daran, dass der Code, der Eingaben von Kundinnen und Kunden sowie von Benutzern mit geringen Rechten verarbeitet, Teil der Angriffsfläche ist. Mit einem Penetrationstest und einer Überprüfung der Systemhärtung lässt sich zeigen, wo gespeicherte Felder missbraucht werden können, und mit Tracking im Lieferkettenschutz bleibt der Patch-Zyklus von Adobe über alle von Ihnen betriebenen Commerce- oder Magento-Installationen hinweg sichtbar.