CVE-2026-47994
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Adobe Commerce zawiera podatność na trwałe Cross-Site Scripting (XSS), która może być wykorzystana przez atakującego z niskimi uprawnieniami do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole, co może prowadzić do uzyskania podwyższonego dostępu lub kontroli nad kontem lub sesją ofiary. Zakres podatności uległ zmianie.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości przejęcia kont użytkowników lub eskalacji uprawnień przez atakującego, co może prowadzić do kradzieży danych, nieautoryzowanych transakcji lub naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek bezpieczeństwa dostarczonych przez Adobe dla Adobe Commerce oraz przeprowadzenie audytu stron i formularzy pod kątem potencjalnie wstrzykniętych skryptów.
Inne podatności w Adobe Commerce
Zobacz wszystkie- CVE-2026-95631Wysokie
Adobe Commerce zawiera podatność typu Improper Input Validation, która może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność bez interakcji użytkownika. Zakres wpływu jest zmieniony.
- CVE-2026-92922Wysokie
Adobe Commerce zawiera podatność typu stored Cross-Site Scripting (XSS), którą uprzywilejowany atakujący może wykorzystać do wstrzyknięcia złośliwych skryptów do podatnych pól formularzy. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole, co może prowadzić do podniesienia uprawnień lub przejęcia konta/sesji ofiary. Zakres wpływu jest zmieniony.
- CVE-2026-92911Wysokie
Adobe Commerce zawiera podatność typu stored Cross-Site Scripting (XSS), którą atakujący z niskimi uprawnieniami może wykorzystać do wstrzyknięcia złośliwych skryptów do podatnych pól formularzy. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole, co może prowadzić do podniesienia uprawnień lub przejęcia konta/sesji ofiary. Zakres wpływu jest zmieniony.
- CVE-2026-92910Wysokie
Adobe Commerce zawiera podatność typu Incorrect Authorization, która może prowadzić do obejścia funkcji bezpieczeństwa. Atakujący może wykorzystać tę podatność do obejścia zabezpieczeń i uzyskania nieautoryzowanego dostępu do odczytu oraz ograniczonego dostępu do zapisu. Wykorzystanie nie wymaga interakcji użytkownika. Zakres wpływu jest zmieniony.
- CVE-2026-92908Wysokie
Adobe Commerce zawiera podatność typu Incorrect Authorization, która może prowadzić do obejścia funkcji bezpieczeństwa. Atakujący z niskimi uprawnieniami może wykorzystać tę podatność do obejścia zabezpieczeń i uzyskania nieautoryzowanego dostępu do odczytu i zapisu, powodując ograniczone zakłócenie dostępności. Wykorzystanie nie wymaga interakcji użytkownika.
- CVE-2026-92909Krytyczne
Adobe Commerce jest podatny na nieprawidłową autoryzację, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Eksploatacja nie wymaga interakcji użytkownika.
- CVE-2026-92464Krytyczne
Adobe Commerce jest podatny na nieprawidłową walidację danych wejściowych, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność bez interakcji użytkownika.
- CVE-2026-91013Krytyczne
Adobe Commerce jest podatny na trwały atak Cross-Site Scripting (XSS), który może zostać wykorzystany do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary, potencjalnie prowadząc do uzyskania podwyższonego dostępu lub przejęcia konta.
- CVE-2026-103849Krytyczne
Adobe Commerce jest dotknięte podatnością związaną z nieprawidłową neutralizacją specjalnych elementów w silniku szablonów, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika, potencjalnie umożliwiając uzyskanie podwyższonego dostępu lub kontroli nad kontem lub sesją ofiary. Eksploatacja nie wymaga interakcji użytkownika. Zakres jest zmieniony.
- CVE-2026-100133Krytyczne
Adobe Commerce jest dotknięty podatnością na trwały Cross-Site Scripting (XSS), która może być wykorzystana przez atakującego do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole, potencjalnie uzyskując podwyższony dostęp lub kontrolę nad kontem lub sesją ofiary. Zakres jest zmieniony.
Oryginalny opis (angielski, źródło NVD)
Adobe Commerce is affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a low-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim's browser when they browse to the page containing the vulnerable field, potentially gaining elevated access or control over the victim's account or session. Scope is changed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS