Az Adobe Commerce hibás jogosultság-ellenőrzése alacsony jogosultsági szintű olvasási és írási hozzáférést tesz lehetővé (CVE-2026-92908)

Mi történt

Az Adobe Commerce, az Adobe Commerce B2B és a Magento Open Source esetében helytelen jogosultság-ellenőrzési sérülékenység áll fenn (CWE-863). Egy alacsony jogosultságú támadó a hibát hálózaton keresztül, alacsony támadási komplexitással, felhasználói beavatkozás nélkül kihasználhatja, és a biztonsági intézkedéseket megkerülve jogosulatlan olvasási és írási hozzáférést szerezhet. A rendelkezésre állást csak korlátozottan érinti.

Az Adobe ezt a sérülékenységet 8,3-as CVSS 3.1 pontszámmal, magas súlyosságúként értékeli. A vektor hálózati támadást, alacsony jogosultsági szintet, a bizalmasságra és a sértetlenségre gyakorolt magas hatást, valamint a rendelkezésre állásra gyakorolt alacsony hatást tükröz. Ehhez a sérülékenységhez nem rögzítettek kihasználást vagy nyilvános közzétételt.

Kit érint

Az Adobe Commerce alábbi verziói érintettek: 2.4.9-2026-sep, 2.4.8-2026-sep, 2.4.7-2026-sep, 2.4.6-2026-sep, 2.4.5-2026-sep és 2.4.4-2026-sep; valamennyi ezeknél korábbi verzió is érintett. Az Adobe Commerce B2B alábbi verziói érintettek: 1.5.3-2026-sep, 1.5.2-2026-sep, 1.4.2-2026-sep, 1.3.4-2026-sep és 1.3.3-2026-sep; valamennyi ezeknél korábbi verzió is érintett. A Magento Open Source alábbi verziói érintettek: 2.4.9-2026-sep, 2.4.8-2026-sep és 2.4.7-2026-sep; valamennyi ezeknél korábbi verzió is érintett. Ezek internet felől elérhető kereskedelmi platformok, ezért az áruházi felület, az adminisztrációs és az integrációs végpontok jellemzően a hálózatról is elérhetők.

Mit kell most tenni

1. Telepítse az Adobe biztonsági közleményében szereplő, megfelelő javított kiadást. Adobe Commerce: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct, 2.4.6-2026-oct, 2.4.5-2026-oct vagy 2.4.4-2026-oct. Adobe Commerce B2B: 1.5.4-alpha1, 1.5.3-2026-oct, 1.5.2-2026-oct, 1.4.2-2026-oct, 1.3.4-2026-oct vagy 1.3.3-2026-oct. Magento Open Source: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct vagy 2.4.7-2026-oct.
2. Ha nem tudja azonnal telepíteni a biztonsági javítást, korlátozza az Adobe Commerce adminisztrációs és integrációs felületeihez való hozzáférést, és vizsgálja meg az alacsony jogosultságú fiókokat szokatlan olvasási vagy írási tevékenység szempontjából. Az Adobe nem közölte, hogy létezik-e kerülő megoldás.

Hogyan észlelhető

Ellenőrizze az Adobe Commerce adminisztrációs és API-hozzáférési naplóit, hogy nem történtek-e jogosulatlan olvasási vagy írási műveletek alacsony jogosultságú fiókokból, különösen a katalógussal, a rendelésekkel vagy a konfigurációval kapcsolatos változtatások esetén. Az Adobe nem tett közzé konkrét kompromittálódásra utaló jeleket ehhez a sérülékenységhez.

A javításon túl

Az internet felől elérhető kereskedelmi platform a szervezet nyilvános támadási felületének része; ha egy alacsony jogosultságú támadó megkerüli a jogosultság-ellenőrzést, az akár észrevétlenül is befolyásolhatja a katalógus, a rendelések és a tartalom sértetlenségét. Bevezetési és felmérési szolgáltatásainkkal tesztelhetjük az Ön Adobe Commerce-telepítését, és átvizsgálhatjuk annak megerősítését; az Ellátási lánc védelem és harmadik feles kockázatok kezelése szolgáltatásunkkal pedig nyomon követhetjük az infrastruktúrájában futó Adobe Commerce verziókat és az expozíciót meghatározó, a javítás telepítésére rendelkezésre álló időablakokat.