Az Adobe Commerce tárolt XSS-hibája lehetővé teszi, hogy magas jogosultságú támadók szkripteket futtassanak az áldozatok böngészőjében (CVE-2026-92922)

Mi történt

Az Adobe Commerce rendszerben tárolt cross-site scripting (XSS) sérülékenység van jelen a sérülékeny űrlapmezőkben. Egy magas jogosultságú támadó rosszindulatú JavaScriptet szúrhat be ezekbe a mezőkbe. Amikor később egy áldozat megnyitja a mezőt tartalmazó oldalt, a szkript lefut az áldozat böngészőjében.

A CVE-rekord a hatást úgy írja le, hogy a támadó potenciálisan magasabb hozzáférést, illetve az áldozat fiókja vagy munkamenete feletti irányítást szerezhet. A CVSS-vektor szerint a támadás hálózaton keresztül, alacsony komplexitással hajtható végre. A támadónak magas jogosultsággal kell rendelkeznie, és a szkript lefuttatásához az áldozatnak meg kell látogatnia az érintett oldalt; a hatókör megváltozik. A bizalmasságra és a sértetlenségre gyakorolt hatás magas, a rendelkezésre állásra nincs hatás. A kihasználás jelenleg nem szerepel a CISA KEV-katalógusában, és a CVE-rekord nem közli, hogy a sérülékenységet nyilvánosan közzétették volna.

Kit érint

Ezek az Adobe Commerce és a Magento Open Source e-kereskedelmi platformok. Az alábbi kiadások érintettek, egészen a felsorolt verziókig bezárólag:

• Adobe Commerce: 2.4.9-2026-sep, 2.4.8-2026-sep, 2.4.7-2026-sep, 2.4.6-2026-sep, 2.4.5-2026-sep és 2.4.4-2026-sep.
• Adobe Commerce B2B: 1.5.3-2026-sep, 1.5.2-2026-sep, 1.4.2-2026-sep, 1.3.4-2026-sep és 1.3.3-2026-sep.
• Magento Open Source: 2.4.9-2026-sep, 2.4.8-2026-sep és 2.4.7-2026-sep.

Ha webáruházát ezeken a kiadásokon üzemelteti, a 2026. szeptemberi buildek érintettek; a javított buildeket alább soroljuk fel.

Mit kell most tenni

1. Azonosítsa a használt kiadást és a jelenlegi verziót; az érintett kiadások a fent felsorolt 2026. szeptemberi buildek.
2. Telepítse a termékvonalához tartozó javított kiadást:

• Adobe Commerce: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct, 2.4.6-2026-oct, 2.4.5-2026-oct, 2.4.4-2026-oct.
• Adobe Commerce B2B: 1.5.4-alpha1, 1.5.3-2026-oct, 1.5.2-2026-oct, 1.4.2-2026-oct, 1.3.4-2026-oct, 1.3.3-2026-oct.
• Magento Open Source: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct.

1. A CVE-rekord nem sorol fel kerülő megoldást. Amíg nem tudja telepíteni a javítást, korlátozza a hozzáférést azokhoz az adminisztrációs szerepkörökhöz, amelyek a sérülékeny űrlapmezőket szerkeszthetik, és kísérje figyelemmel az érintett oldalakat, hogy észrevegye a váratlan szkripteket.

A javításon túl

Először telepítse a javítást. Ezen a kiadáson túl a tárolt XSS egy e-kereskedelmi platformon arra emlékeztet, hogy egy nyilvános webáruház adminisztrátori és tartalmi szerepkörei biztonsági határt jelentenek. A Bevezetési és felmérési szolgáltatások segíthetnek tesztelni a nyilvános webhelyet és azokat a kiemelt jogosultságú munkafolyamatokat, amelyek űrlapmezőket szerkesztenek, az Ellátási lánc védelem és harmadik fél kockázatai pedig segít nyomon követni az Adobe Commerce és más platformok frissítési ciklusait a teljes rendszerkörnyezetben, hogy a következő javítás tervezett legyen, ne pedig reaktív.