Stored-XSS in Adobe Commerce ermöglicht Session-Übernahme

Beschreibung

Adobe Commerce ist in den Versionen 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 und früher von einer Stored-Cross-Site-Scripting-Schwachstelle betroffen, die es einem hochprivilegierten Angreifer erlaubt, bösartige Skripte in anfällige Formularfelder einzuschleusen. Besucht ein Opfer die Seite mit dem betroffenen Feld, kann schädliches JavaScript im Browser ausgeführt werden. Ein erfolgreicher Angreifer kann dies für eine Session-Übernahme missbrauchen, was Vertraulichkeit und Integrität stark beeinträchtigt. Die Ausnutzung erfordert eine Nutzerinteraktion, da das Opfer die betroffene Seite aufrufen muss. CVSS-Basiswert: 8.1 (Hoch).

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Magento/Adobe Commerce

• Adobe ColdFusion: Path Traversal ermöglicht Codeausführung KEV CVE-2026-48282
• Adobe Acrobat und Reader – Heap-Based Buffer Overflow KEV CVE-2009-3459
• Adobe Acrobat Use-After-Free KEV CVE-2020-9715
• Adobe Acrobat und Reader – Prototype Pollution Vulnerability KEV CVE-2026-34621
• Adobe Commerce/Magento – Improper Input Validation KEV CVE-2025-54236
• Adobe Experience Manager Forms – Code Execution KEV CVE-2025-54253