CVE-2026-34647
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Wersje Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejsze są podatne na lukę typu Server-Side Request Forgery (SSRF), która może prowadzić do ominięcia zabezpieczeń. Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do danych.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do wrażliwych informacji, co może prowadzić do poważnych konsekwencji prawnych i reputacyjnych. Wymagana jest interakcja użytkownika, co zwiększa ryzyko w przypadku odwiedzenia złośliwej strony.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Adobe Commerce, aby usunąć tę podatność. Dodatkowo, warto wprowadzić dodatkowe środki bezpieczeństwa, aby zminimalizować ryzyko interakcji użytkowników z złośliwymi stronami.
Inne podatności w Adobe Commerce
Zobacz wszystkie- CVE-2026-95631Wysokie
Adobe Commerce zawiera podatność typu Improper Input Validation, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność bez interakcji użytkownika. Zakres wpływu jest zmieniony.
- CVE-2026-92922Wysokie
Adobe Commerce zawiera podatność typu stored Cross-Site Scripting (XSS), którą uprzywilejowany atakujący może wykorzystać do wstrzyknięcia złośliwych skryptów do podatnych pól formularzy. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole, co może prowadzić do podniesienia uprawnień lub przejęcia konta/sesji ofiary. Zakres wpływu jest zmieniony.
- CVE-2026-92911Wysokie
Adobe Commerce zawiera podatność typu stored Cross-Site Scripting (XSS), którą atakujący z niskimi uprawnieniami może wykorzystać do wstrzyknięcia złośliwych skryptów do podatnych pól formularzy. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole, co może prowadzić do podniesienia uprawnień lub przejęcia konta/sesji ofiary. Zakres wpływu jest zmieniony.
- CVE-2026-92910Wysokie
Adobe Commerce zawiera podatność typu Incorrect Authorization, która może prowadzić do obejścia funkcji bezpieczeństwa. Atakujący może wykorzystać tę podatność do obejścia zabezpieczeń i uzyskania nieautoryzowanego dostępu do odczytu oraz ograniczonego dostępu do zapisu. Wykorzystanie nie wymaga interakcji użytkownika. Zakres wpływu jest zmieniony.
- CVE-2026-92908Wysokie
Adobe Commerce zawiera podatność typu Incorrect Authorization, która może prowadzić do obejścia funkcji bezpieczeństwa. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do obejścia zabezpieczeń i uzyskania nieautoryzowanego dostępu do odczytu i zapisu, powodując ograniczone zakłócenie dostępności. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2026-92909Krytyczne
Adobe Commerce jest podatny na nieprawidłową autoryzację, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Eksploatacja nie wymaga interakcji użytkownika.
- CVE-2026-92464Krytyczne
Adobe Commerce jest podatny na nieprawidłową walidację danych wejściowych, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność bez interakcji użytkownika.
- CVE-2026-91013Krytyczne
Adobe Commerce jest podatny na trwały atak Cross-Site Scripting (XSS), który może zostać wykorzystany do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary, potencjalnie prowadząc do uzyskania podwyższonego dostępu lub przejęcia konta.
- CVE-2026-103849Krytyczne
Adobe Commerce jest dotknięte podatnością związaną z nieprawidłową neutralizacją specjalnych elementów w silniku szablonów, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika, potencjalnie umożliwiając uzyskanie podwyższonego dostępu lub kontroli nad kontem lub sesją ofiary. Eksploatacja nie wymaga interakcji użytkownika. Zakres jest zmieniony.
- CVE-2026-100133Krytyczne
Adobe Commerce jest dotknięty podatnością na trwały Cross-Site Scripting (XSS), która może być wykorzystana przez atakującego do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole, potencjalnie uzyskując podwyższony dostęp lub kontrolę nad kontem lub sesją ofiary. Zakres jest zmieniony.
Oryginalny opis (angielski, źródło NVD)
Adobe Commerce versions 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 and earlier are affected by a Server-Side Request Forgery (SSRF) vulnerability that could result in a Security feature bypass. An attacker could leverage this vulnerability to bypass security measures and gain unauthorized read access. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS