Magento/Adobe Commerce Seite 4

FasterXML jackson-databind vor Version 2.9.10.8 verarbeitet laut NVD das Zusammenspiel von Serialisierungs-Gadgets und Typing fehlerhaft, konkret im Zusammenhang mit der Klasse com.newrelic.agent.deps.ch.qos.logback.core.db.JNDIConnectionSource. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 10.9 %. Laut Quelldaten sind unter anderem NetApp, NAKIVO, Debian, Univention, Magento/Adobe Commerce, Axis, Sonatype, Element (Matrix.org) und Oracle betroffen.

In FasterXML jackson-databind vor Version 2.9.10.8 wird die Interaktion zwischen Serialisierungs-Gadgets und Typisierung fehlerhaft behandelt, betroffen ist unter anderem die Klasse org.apache.tomcat.dbcp.dbcp2.datasources.PerUserPoolDataSource. Betroffen sind laut Zuordnung unter anderem NetApp, NAKIVO, Debian, Univention, Magento/Adobe Commerce, Axis, Sonatype, Element (Matrix.org) und Oracle (CPU/EBS/PeopleSoft/WebLogic). CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 10.4 %.

Adobe ColdFusion (Versionen 2023.18, 2025.6 und früher) enthält eine Path-Traversal-Schwachstelle, die eine Sicherheitsfunktion umgehen kann. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 8.5 %.

In jackson-databind vor Version 2.9.10.7 verarbeitet FasterXML das Zusammenspiel von Serialisierungs-Gadgets und Typinformationen fehlerhaft. Die grösste Gefahr geht laut Quellbeschreibung von einer Beeinträchtigung der Vertraulichkeit der Daten aus. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 7.5 %. Empfohlene Massnahme: auf jackson-databind 2.9.10.7 oder neuer aktualisieren.

Adobe ColdFusion in den Versionen 2023.19, 2025.8 und älter ist von einer Path-Traversal-Schwachstelle (unzureichende Beschränkung eines Pfadnamens auf ein erlaubtes Verzeichnis) betroffen, die zu einer Umgehung einer Sicherheitsfunktion führen kann. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 2.5 %. Empfohlene Massnahme: Update auf eine gepatchte ColdFusion-Version gemäss Adobe-Advisory.

Adobe ColdFusion in den Versionen 2023.19, 2025.8 und älter ist von einer Schwachstelle durch fehlerhafte Autorisierung betroffen, die eine beliebige Code-Ausführung im Kontext des aktuellen Nutzers ermöglichen kann. Zur Ausnutzung sind hohe Rechte erforderlich. CVSS-Basiswert: 8.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 2.1 %. Empfohlene Massnahme: Update auf eine gepatchte ColdFusion-Version gemäss Adobe-Advisory.

In der Komponente Oracle Commerce Guided Search / Oracle Commerce Experience Manager der Oracle Commerce Platform 3.x und 11.x besteht laut Quellbeschreibung eine nicht näher spezifizierte Schwachstelle. Sie erlaubt entfernten Angreifern, die Vertraulichkeit betroffener Systeme zu beeinträchtigen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 2.0 %.

Adobe Commerce ist von einer SQL-Injection-Schwachstelle (Improper Neutralization of Special Elements used in an SQL Command) betroffen, die zu Remote Code Execution im Kontext des betroffenen Prozesses führen kann. CVSS-Basiswert: 7.2 (Hoch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

Adobe ColdFusion in den Versionen 2025.9, 2023.20 und älter ist von einer Server-Side-Request-Forgery-Schwachstelle (SSRF) betroffen, die zu einer Umgehung einer Sicherheitsfunktion führen kann. CVSS-Basiswert: 8.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Empfohlene Massnahme: Update auf eine gepatchte ColdFusion-Version gemäss Adobe-Advisory.

CAI Content Credentials-Versionen 0.78.2, 0.7.0 und früher sind von einer Schwachstelle durch unkontrollierten Ressourcenverbrauch betroffen, die zu einem Denial-of-Service der Anwendung führen kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

Adobe Acrobat PDF Extension (Chrome) in Version 26.5.2.2 und früher ist von einer Cross-Origin-Datenoffenlegung der UXSS-Klasse betroffen. Ein Angreifer könnte die Schwachstelle ausnutzen, um Zugriff auf Daten über Origin-Grenzen hinweg zu erlangen. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf eine korrigierte Version der Erweiterung aktualisieren. Laut einer manuell erfassten Community-Meldung (reddit:r/cybersecurity) hat Adobe die Schwachstelle gepatcht; Angreifer hätten darüber WhatsApp-Web-Chats stehlen können, indem sie Benutzer auf eine präparierte Webseite locken. Ein weiterer manuell erfasster Beitrag (reddit:r/Information_Security) führt den Fehler der Acrobat-Chrome-Erweiterung, der WhatsApp-Web-Daten offenlegen konnte, unter dem Namen HermeticReader.

Adobe ColdFusion in den Versionen 2023.18, 2025.6 und früher enthält eine Schwachstelle durch fehlerhafte Eingabevalidierung, die einen Bypass von Sicherheitsmechanismen ermöglicht. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Adobe Commerce-Versionen 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 und früher sind von einer Schwachstelle durch unkontrollierten Ressourcenverbrauch betroffen, die zu einem Denial-of-Service der Anwendung führen kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Adobe Commerce ist von einer Schwachstelle durch fehlerhafte Autorisierung betroffen, die eine Umgehung von Sicherheitsfunktionen ermöglicht. Ein Angreifer könnte die Schwachstelle nutzen, um Sicherheitsmassnahmen zu umgehen. CVSS-Basiswert: 8.6 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt. Empfohlene Massnahme: die von Adobe bereitgestellten Sicherheitsupdates einspielen.

Adobe Commerce ist von einer Schwachstelle durch fehlerhafte Autorisierung (Incorrect Authorization) betroffen, die zur Umgehung einer Sicherheitsfunktion führen kann. Ein Angreifer könnte damit Sicherheitsmassnahmen umgehen. CVSS-Basiswert: 8.2 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N. Empfohlene Massnahme: die von Adobe bereitgestellten Sicherheitsupdates einspielen.

Adobe Commerce ist laut NVD von einer gespeicherten Cross-Site-Scripting-Schwachstelle (Stored XSS) betroffen, die ein Angreifer mit niedrigen Rechten missbrauchen kann, um bösartige Skripte in anfällige Formularfelder einzuschleusen. Laut CVSS-Vektor ist die Lücke über das Netzwerk mit niedrigen Rechten und Benutzerinteraktion ausnutzbar. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: verfügbare Hersteller-Updates einspielen.

Adobe Commerce-Versionen 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 und früher sind von einer Path-Traversal-Schwachstelle (unzureichende Einschränkung eines Pfades auf ein beschränktes Verzeichnis) betroffen. CVSS-Basiswert: 8.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In Adobe Commerce wurden mehrere Versionen (bis 2.4.8-p3, 2.4.7-p8, 2.4.6-p13 und früher) von einer Schwachstelle durch fehlerhafte Autorisierung betroffen, die zu einem Sicherheitsfunktions-Bypass führen kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In Adobe Commerce (Versionen 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 und früher) besteht eine Server-Side-Request-Forgery-Schwachstelle (SSRF), die zur Umgehung von Sicherheitsfunktionen führen kann. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Adobe ColdFusion in den Versionen 2023.19, 2025.8 und früher ist von einer Schwachstelle durch unzureichende Eingabevalidierung betroffen, die zu einer Umgehung eines Sicherheitsmerkmals führen kann. Ein Angreifer mit geringen Rechten könnte dies ausnutzen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: die von Adobe bereitgestellten Sicherheitsupdates einspielen.

In Adobe Commerce (Versionen 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 und früher) besteht eine Incorrect-Authorization-Schwachstelle, die zur Umgehung von Sicherheitsfunktionen führen kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In Adobe Commerce wurden mehrere Versionen (bis 2.4.8-p3, 2.4.7-p8, 2.4.6-p13 und früher) von einer Schwachstelle durch fehlerhafte Autorisierung betroffen, die zu einem Sicherheitsfunktions-Bypass führen kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Adobe ColdFusion in den Versionen 2025.9, 2023.20 und älter ist von einer reflektierten Cross-Site-Scripting-Schwachstelle (XSS) betroffen. Ein Angreifer könnte sie ausnutzen, um schädliche Skripte einzuschleusen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: die von Adobe bereitgestellten Sicherheitsupdates einspielen.

Adobe After Effects, Versionen 26.0, 25.6.4 und früher, ist von einem stapelbasierten Pufferüberlauf (Stack-based Buffer Overflow) betroffen, der zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Adobe Commerce-Versionen 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 und früher sind durch eine Abhängigkeit von einer verwundbaren Drittkomponente betroffen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

ColdFusion in den Versionen 2023.19, 2025.8 und früher ist für eine XML-External-Entity-(XXE)-Schwachstelle anfällig, die zum beliebigen Lesen aus dem Dateisystem führen kann. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Adobe Commerce wurden mehrere Versionen (bis 2.4.8-p3, 2.4.7-p8, 2.4.6-p13 und früher) von einer gespeicherten Cross-Site-Scripting-Schwachstelle (Stored XSS) betroffen, die von einem Angreifer mit niedrigen Rechten ausgenutzt werden kann. CVSS-Basiswert: 8.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Adobe Commerce Version 2.4.9-alpha3, 2.4.8-p3, 2.4.7-p8, 2.4.6-p13, 2.4.5-p15, 2.4.4-p16 und früher besteht eine Stored-XSS-Schwachstelle, die von einem Angreifer mit erhöhten Rechten missbraucht werden kann. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

CAI Content Credentials in den Versionen c2pa-web@0.7.1, c2pa-v0.80.1 und früher sind von einem Integer-Überlauf betroffen; ein Angreifer könnte diese Schwachstelle ausnutzen, um die Anwendung zum Absturz zu bringen. Als betroffen ausgewiesen sind unter anderem Adobe (APSB), Magento/Adobe Commerce, Apple (macOS/iOS), Google ChromeOS/Chrome, Android (ASB), Amazon Linux (ALAS), Oracle Linux (ELSA), Rocky Linux und Microsoft Windows. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine nicht betroffene Version aktualisieren.

Adobe Acrobat Reader (Versionen 26.001.21411, 24.001.30360, 24.001.30362 und früher) ist von einer Prototype-Pollution-Schwachstelle (unkontrollierte Modifikation von Objekt-Prototyp-Attributen) betroffen. CVSS-Basiswert: 8.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Eine Schwachstelle in der Oracle Commerce Platform (Bestandteil von Oracle Commerce, Komponente Dynamo Application Framework) betrifft die unterstützte Version 11.4.0. Die Lücke gilt als einfach ausnutzbar und kann die Vertraulichkeit beeinträchtigen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: betroffene Version gemäss Oracle-Advisory aktualisieren.

In Adobe Connect (Versionen 2025.3, 12.10 und früher) besteht eine Cross-Site-Scripting-Schwachstelle, die zur Privileg-Eskalation missbraucht werden kann. CVSS-Basiswert: 8.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Adobe Commerce (Versionen 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 und früher) besteht eine Incorrect-Authorization-Schwachstelle, die zur Umgehung von Sicherheitsfunktionen führen kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Adobe CAI Content Credentials (Versionen c2pa-web@0.7.1, c2pa-v0.80.1 und früher) ist von einer Schwachstelle durch unsachgemässe Eingabevalidierung betroffen. Ein Angreifer könnte diese ausnutzen, um die Anwendung zum Absturz zu bringen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: verfügbare Adobe-Updates einspielen.

CAI Content Credentials in den Versionen c2pa-web@0.7.1, c2pa-v0.80.1 und früher sind von einer Schwachstelle durch unkontrollierten Ressourcenverbrauch betroffen. Ein Angreifer könnte sie ausnutzen, um Systemressourcen zu erschöpfen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

Adobe Commerce-Versionen 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 und früher sind von einer gespeicherten Cross-Site-Scripting-Schwachstelle (Stored XSS) betroffen, die von einem Angreifer mit niedrigen Berechtigungen missbraucht werden kann. CVSS-Basiswert: 8.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In den Produkten Oracle Commerce Guided Search und Oracle Commerce Experience Manager der Oracle Commerce (Komponente Experience Manager) besteht eine Schwachstelle. Betroffen ist laut Quelle die Version 11.4.0. Der CVSS-Basiswert liegt bei 7.5 (Hoch); die Ausnutzung erfolgt laut Vektor über das Netzwerk ohne Rechte und ohne Nutzerinteraktion und gefährdet die Vertraulichkeit. Die betroffene Version sollte auf einen fehlerbereinigten Stand aktualisiert werden.

Adobe Commerce ist von einer Stored-Cross-Site-Scripting-Schwachstelle (XSS) betroffen, die ein Angreifer mit hohen Berechtigungen ausnutzen kann, um schädliche Skripte in anfällige Formularfelder einzuschleusen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Sicherheitsupdates einspielen.

Eine leicht ausnutzbare Schwachstelle in der Komponente Experience Manager des Produkts Oracle Commerce Guided Search / Oracle Commerce Experience Manager erlaubt einem Angreifer mit niedrigen Rechten über das Netzwerk die Kompromittierung des Produkts. Betroffen ist die Version 11.4.0. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: das aktuelle Oracle Critical Patch Update einspielen.

Im Produkt Oracle Commerce Guided Search / Oracle Commerce Experience Manager von Oracle Commerce (Komponente: Experience Manager) besteht eine Schwachstelle. Betroffen ist laut Quelldaten die unterstützte Version 11.4.0. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

In Magento Long Term Support (LTS), dem Community-Projekt als Alternative zur Magento Community Edition, wurde eine Sicherheitslücke gemeldet. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Adobe Commerce wurden mehrere Versionen (bis 2.4.8-p3, 2.4.7-p8, 2.4.6-p13 und früher) von einer gespeicherten Cross-Site-Scripting-Schwachstelle (Stored XSS) betroffen, die von einem Angreifer mit erhöhten Rechten ausgenutzt werden kann. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Eine Schwachstelle im Produkt Oracle Commerce Guided Search bzw. Oracle Commerce Experience Manager von Oracle Commerce (Komponente: Experience Manager) betrifft die unterstützte Version 11.4.0. CVSS-Basiswert: 7.5 (Hoch).

Im Produkt Oracle Commerce Guided Search / Oracle Commerce Experience Manager (Komponente Experience Manager) besteht laut NVD eine Schwachstelle. Betroffen ist gemäss Quelle die Version 11.4.0. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit Auswirkung auf die Vertraulichkeit. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Eine Schwachstelle in den Oracle Commerce Guided Search Platform Services von Oracle Commerce (Komponente Forge) betrifft laut NVD die Version 11.4.0. Die leicht ausnutzbare Lücke ist über das Netzwerk mit niedrigen Berechtigungen angreifbar und wirkt sich auf Vertraulichkeit und Verfügbarkeit aus. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

In Adobe Acrobat Reader Version 24.001.30307, 24.001.30308, 25.001.21265 und früher besteht eine Use-After-Free-Schwachstelle, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Eine Schwachstelle im Produkt Oracle Commerce Guided Search / Oracle Commerce Experience Manager (Komponente Forge) von Oracle Commerce betrifft die unterstützte Version 11.4.0. Die Lücke ist laut Quelle nur schwer ausnutzbar, kann bei erfolgreichem Angriff aber Vertraulichkeit, Integrität und Verfügbarkeit gefährden. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: das jeweils aktuelle Oracle Critical Patch Update einspielen.

Adobe Acrobat Reader in den Versionen 24.001.30365, 26.001.21651 und früher ist von einer Use-after-free-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine vom Hersteller bereitgestellte, nicht betroffene Version aktualisieren.

Adobe Acrobat Reader (Versionen 24.001.30365, 26.001.21651 und früher) ist von einer Use-after-free-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: verfügbare Adobe-Updates einspielen.

Adobe Acrobat Reader in den Versionen 24.001.30365, 26.001.21651 und früher ist von einer Use-after-free-Schwachstelle betroffen, die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich (Öffnen einer präparierten Datei). CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Acrobat Reader auf eine von Adobe bereitgestellte fehlerbereinigte Version aktualisieren.