CVE-2026-34655
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Adobe Commerce w wersjach 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejszych jest dotknięty podatnością przechowywanego Cross-Site Scripting (XSS), która może być wykorzystana przez atakującego z wysokimi uprawnieniami do wstrzyknięcia złośliwych skryptów do podatnych pól formularzy. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole. Zakres podatności jest zmieniony.
Ocena ryzyka
Atakujący z wysokimi uprawnieniami może wykonać złośliwy skrypt w przeglądarce administratora lub innego użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub innych szkodliwych działań.
Rekomendacja
Zaktualizuj Adobe Commerce do najnowszej wersji zawierającej poprawkę. Ogranicz uprawnienia użytkowników i regularnie audytuj formularze pod kątem XSS.
Inne podatności w Adobe Commerce
Zobacz wszystkie- CVE-2026-71362Krytyczne
Adobe Commerce jest dotknięty podatnością nieprawidłowej autoryzacji, która może skutkować eskalacją uprawnień. Atakujący może wykorzystać tę podatność do uzyskania podwyższonego dostępu do wrażliwych zasobów. Eksploatacja tego problemu nie wymaga interakcji użytkownika.
- CVE-2026-48358Krytyczne
Adobe Commerce zawiera podatność polegającą na nieprawidłowym kodowaniu lub escapowaniu danych wyjściowych, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę lukę bez interakcji z użytkownikiem. Zakres podatności uległ zmianie.
- CVE-2026-48356Krytyczne
Adobe Commerce zawiera podatność polegającą na nieograniczonym przesyłaniu plików o niebezpiecznym typie, co może prowadzić do zdalnego wykonania kodu w kontekście bieżącego użytkownika. Atakujący może uzyskać podwyższone uprawnienia lub przejąć kontrolę nad kontem lub sesją ofiary. Wykorzystanie luki wymaga interakcji użytkownika, np. odwiedzenia spreparowanego adresu URL lub interakcji z zainfekowaną stroną.
- CVE-2026-34650Wysokie
Wersje Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejsze są podatne na lukę w zakresie niekontrolowanego zużycia zasobów, co może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność do wyczerpania zasobów systemowych.
- CVE-2026-34649Wysokie
Wersje Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejsze są podatne na lukę w zakresie niekontrolowanego zużycia zasobów, co może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność do wyczerpania zasobów systemowych.
- CVE-2026-34648Wysokie
Wersje Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 i wcześniejsze są podatne na lukę w zakresie niekontrolowanego zużycia zasobów, co może prowadzić do odmowy usługi aplikacji. Atakujący może wykorzystać tę podatność do wyczerpania zasobów systemowych.
- CVE-2025-54236Krytyczne
Wersje Adobe Commerce 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 i wcześniejsze są podatne na lukę związaną z niewłaściwą walidacją danych wejściowych. Atakujący może wykorzystać tę lukę do przejęcia sesji, co znacząco wpływa na poufność i integralność danych.
- CVE-2023-38208Krytyczne
Wersje Adobe Commerce 2.4.6-p1 (i wcześniejsze), 2.4.5-p3 (i wcześniejsze) oraz 2.4.4-p4 (i wcześniejsze) są podatne na niewłaściwą neutralizację specjalnych elementów używanych w poleceniach systemowych, co może prowadzić do wykonania dowolnego kodu przez atakującego z uprawnieniami administratora. Wykorzystanie tej podatności nie wymaga interakcji użytkownika.
- CVE-2026-48416Wysokie
Adobe Commerce zawiera podatność na nieprawidłową autoryzację, która może skutkować obejściem funkcji bezpieczeństwa. Atakujący może wykorzystać tę podatność do obejścia środków bezpieczeństwa i uzyskania nieautoryzowanego dostępu do odczytu. Wykorzystanie tej podatności nie wymaga interakcji użytkownika.
- CVE-2026-48415Wysokie
Adobe Commerce zawiera podatność na nieprawidłową autoryzację, która może skutkować obejściem funkcji bezpieczeństwa. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do obejścia środków bezpieczeństwa i uzyskania nieautoryzowanego dostępu do odczytu i zapisu, powodując ograniczone zakłócenia dostępności. Wykorzystanie tej podatności nie wymaga interakcji użytkownika.
Oryginalny opis (angielski, źródło NVD)
Adobe Commerce versions 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 and earlier are affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a high-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim's browser when they browse to the page containing the vulnerable field. Scope is changed.