Adobe Commerce | Cross-site Scripting (Stored XSS) (CWE-79)

L'impact de cette vulnérabilité est significatif. Un attaquant peut exploiter cette XSS stockée pour injecter du code JavaScript malveillant dans des champs de formulaires. Lorsque les utilisateurs visitent les pages contenant ces champs vulnérables, le script malveillant s'exécute dans leur navigateur. Cela peut permettre à l'attaquant de voler des cookies de session, de modifier le contenu de la page web, ou même de rediriger l'utilisateur vers un site web malveillant. La prise de contrôle de session est un risque majeur, car elle permet à l'attaquant d'agir en tant qu'utilisateur légitime, accédant à des données sensibles et effectuant des actions non autorisées. La vulnérabilité est particulièrement préoccupante car elle ne nécessite qu'une interaction limitée de la victime, ce qui facilite son exploitation à grande échelle.

Organizations utilizing Adobe Commerce versions 0–2.4.4-p16, particularly those with custom extensions or integrations that handle user input, are at significant risk. Shared hosting environments where multiple tenants share the same Adobe Commerce instance are also vulnerable, as an attacker compromising one tenant could potentially exploit this vulnerability to affect others.

• wordpress / composer / npm:

grep -r "<script>" /var/www/html/app/code/Magento/*

• generic web:

curl -I https://your-magento-site.com/form-page | grep Content-Security-Policy

• generic web: Check access and error logs for suspicious POST requests containing <script> tags or other XSS payloads. • generic web: Inspect form field input and output for unexpected HTML or JavaScript code.

1. 2026-03-11Disclosure

   disclosure

1. Réservé2025-12-12
2. Publiée2026-03-11
3. Modifiée2026-03-12
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Adobe Commerce vers une version corrigée. Adobe a publié des correctifs pour les versions vulnérables. Si la mise à jour n'est pas immédiatement possible, des mesures d'atténuation peuvent être mises en place. Il est recommandé de désactiver temporairement les fonctionnalités de formulaires non essentielles et de renforcer les politiques de sécurité du contenu (CSP) pour limiter l'exécution de scripts externes. L'utilisation d'un Web Application Firewall (WAF) peut également aider à bloquer les tentatives d'injection de scripts malveillants. Surveillez attentivement les journaux d'accès et d'erreurs pour détecter toute activité suspecte.