Gespeichertes XSS in Adobe Commerce ermöglicht hochprivilegierten Angreifern, Skripte in den Browsern der Opfer auszuführen (CVE-2026-92922)

Was passiert ist

Adobe Commerce ist von einer gespeicherten Cross-Site-Scripting-Schwachstelle in anfälligen Formularfeldern betroffen. Ein hochprivilegierter Angreifer kann in diese Felder schädliches JavaScript einschleusen. Ruft ein Opfer später die Seite mit dem betroffenen Feld auf, wird das Skript im Browser des Opfers ausgeführt.

Der CVE-Eintrag beschreibt die Auswirkung dahingehend, dass möglicherweise erweiterte Zugriffsrechte oder Kontrolle über das Konto bzw. die Sitzung des Opfers erlangt werden. Der CVSS-Vektor weist einen Netzwerkangriff mit geringer Komplexität aus. Der Angreifer benötigt hohe Privilegien, und ein Opfer muss die betroffene Seite aufrufen, damit das Skript ausgeführt wird; der Scope ist verändert. Die Auswirkungen auf Vertraulichkeit und Integrität sind hoch; auf die Verfügbarkeit gibt es keine Auswirkungen. Eine Ausnutzung wird derzeit nicht im KEV-Katalog der CISA geführt, und der CVE-Eintrag enthält keine Angabe, dass die Schwachstelle öffentlich offengelegt wurde.

Wer betroffen ist

Es handelt sich um die E-Commerce-Plattformen Adobe Commerce und Magento Open Source. Betroffen sind die folgenden Releases:

• Adobe Commerce bis einschließlich 2.4.9-2026-sep, 2.4.8-2026-sep, 2.4.7-2026-sep, 2.4.6-2026-sep, 2.4.5-2026-sep und 2.4.4-2026-sep.
• Adobe Commerce B2B bis einschließlich 1.5.3-2026-sep, 1.5.2-2026-sep, 1.4.2-2026-sep, 1.3.4-2026-sep und 1.3.3-2026-sep.
• Magento Open Source bis einschließlich 2.4.9-2026-sep, 2.4.8-2026-sep und 2.4.7-2026-sep.

Wenn Sie einen Shop mit diesen Releases betreiben, sind die Builds vom September 2026 betroffen; die korrigierten Builds sind unten aufgeführt.

Was jetzt zu tun ist

1. Ermitteln Sie Ihre Edition und die aktuelle Version; betroffen sind die oben genannten Builds vom September 2026.
2. Spielen Sie die korrigierte Version für Ihre Produktlinie ein:

• Adobe Commerce: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct, 2.4.6-2026-oct, 2.4.5-2026-oct, 2.4.4-2026-oct.
• Adobe Commerce B2B: 1.5.4-alpha1, 1.5.3-2026-oct, 1.5.2-2026-oct, 1.4.2-2026-oct, 1.3.4-2026-oct, 1.3.3-2026-oct.
• Magento Open Source: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct.

1. Der CVE-Eintrag führt keine Problemumgehung auf. Bis Sie den Sicherheitspatch einspielen können, beschränken Sie den Zugriff auf die Administratorrollen, die die anfälligen Formularfelder bearbeiten können, und überwachen Sie betroffene Seiten auf unerwartete Skripte.

Über den Patch hinaus

Spielen Sie zuerst den Sicherheitspatch ein. Über dieses Release hinaus ist eine gespeicherte XSS-Schwachstelle in einer E-Commerce-Plattform eine Erinnerung daran, dass die Administrations- und Inhaltsrollen eines öffentlichen Shops eine Sicherheitsgrenze darstellen. Implementierungs- und Bewertungsleistungen können die öffentliche Website und die privilegierten Workflows testen, über die Formularfelder bearbeitet werden, und Lieferkettenschutz & Drittparteienrisiko hilft dabei, die Update-Zyklen von Adobe Commerce und anderen Plattformen in Ihrer gesamten Systemlandschaft zu verfolgen, damit der nächste Sicherheitspatch geplant und nicht nur reaktiv eingespielt wird.