Aktywnie wykorzystywana w atakach
Adobe Commerce and Magento Open Source Improper Input Validation Vulnerability
Adobe - Commerce and Magento Open Source · Figuruje w katalogu CISA KEV od 2022-02-15. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2022-24086
KrytyczneCVSS 9.8KEVStreszczenie
Adobe Commerce w wersjach 2.4.3-p1 i wcześniejszych oraz 2.3.7-p2 i wcześniejszych zawiera lukę niewłaściwej walidacji danych wejściowych podczas procesu składania zamówienia. Wykorzystanie luki nie wymaga interakcji użytkownika i może prowadzić do wykonania dowolnego kodu.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze sklepu, co może skutkować przejęciem danych klientów, modyfikacją zamówień lub pełną kompromitacją platformy e-commerce. Luka jest łatwa do wykorzystania bez udziału użytkownika.
Rekomendacja
Natychmiast zaktualizuj Adobe Commerce do najnowszej wersji zawierającej poprawkę bezpieczeństwa. Sprawdź logi pod kątem nietypowych żądań do procesu checkout i zweryfikuj integralność systemu.
Inne podatności w Adobe Commerce
Zobacz wszystkie- CVE-2026-92909Krytyczne
Adobe Commerce jest podatny na nieprawidłową autoryzację, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Eksploatacja nie wymaga interakcji użytkownika.
- CVE-2026-92464Krytyczne
Adobe Commerce jest podatny na nieprawidłową walidację danych wejściowych, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność bez interakcji użytkownika.
- CVE-2026-91013Krytyczne
Adobe Commerce jest podatny na trwały atak Cross-Site Scripting (XSS), który może zostać wykorzystany do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary, potencjalnie prowadząc do uzyskania podwyższonego dostępu lub przejęcia konta.
- CVE-2026-103849Krytyczne
Adobe Commerce jest dotknięte podatnością związaną z nieprawidłową neutralizacją specjalnych elementów w silniku szablonów, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika, potencjalnie umożliwiając uzyskanie podwyższonego dostępu lub kontroli nad kontem lub sesją ofiary. Eksploatacja nie wymaga interakcji użytkownika. Zakres jest zmieniony.
- CVE-2026-100133Krytyczne
Adobe Commerce jest dotknięty podatnością na trwały Cross-Site Scripting (XSS), która może być wykorzystana przez atakującego do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole, potencjalnie uzyskując podwyższony dostęp lub kontrolę nad kontem lub sesją ofiary. Zakres jest zmieniony.
- CVE-2026-76201Krytyczne
Adobe Commerce jest dotknięty podatnością przechowywanego XSS, która może być wykorzystana przez atakującego do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole, potencjalnie prowadząc do uzyskania podwyższonego dostępu lub kontroli nad kontem lub sesją ofiary. Zakres ataku jest zmieniony.
- CVE-2026-76200Krytyczne
Adobe Commerce jest dotknięty podatnością przechowywanego XSS, która może być wykorzystana przez atakującego do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole, potencjalnie prowadząc do uzyskania podwyższonego dostępu lub kontroli nad kontem lub sesją ofiary. Zakres ataku jest zmieniony.
- CVE-2026-75650KrytyczneAktywnie exploitowane
Adobe Commerce jest dotknięty podatnością polegającą na nieprawidłowej neutralizacji specjalnych elementów używanych w silniku szablonów, co może skutkować wykonaniem dowolnego kodu w kontekście bieżącego użytkownika. Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika. Zakres jest zmieniony.
- CVE-2026-71362KrytyczneAktywnie exploitowane
Adobe Commerce jest dotknięty podatnością nieprawidłowej autoryzacji, która może skutkować eskalacją uprawnień. Atakujący może wykorzystać tę podatność do uzyskania podwyższonego dostępu do wrażliwych zasobów. Eksploatacja tego problemu nie wymaga interakcji użytkownika.
- CVE-2026-48358Krytyczne
Adobe Commerce zawiera podatność polegającą na nieprawidłowym kodowaniu lub escapowaniu danych wyjściowych, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę lukę bez interakcji z użytkownikiem. Zakres podatności uległ zmianie.
Oryginalny opis (angielski, źródło NVD)
Adobe Commerce versions 2.4.3-p1 (and earlier) and 2.3.7-p2 (and earlier) are affected by an improper input validation vulnerability during the checkout process. Exploitation of this issue does not require user interaction and could result in arbitrary code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS