Adobe Commerce | क्रॉस-साइट स्क्रिप्टिंग (संग्रहीत XSS) (CWE-79)

Adobe Commerce में CVE-2026-21284 एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता है, जो संस्करण 2.4.9-alpha3 और पहले के संस्करणों को प्रभावित करती है। एक उच्च-विशेषाधिकार प्राप्त हमलावर कमजोर फॉर्म फ़ील्ड में दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट कर सकता है। जब कोई उपयोगकर्ता कमजोर फ़ील्ड वाले पृष्ठ को ब्राउज़ करता है, तो दुर्भावनापूर्ण जावास्क्रिप्ट उनके ब्राउज़र में निष्पादित हो सकता है, जिससे सत्र अपहरण हो सकता है और गोपनीयता और अखंडता से समझौता हो सकता है। यह भेद्यता विशेष रूप से चिंताजनक है क्योंकि यह हमलावरों को उपयोगकर्ता के संदर्भ में मनमाना कोड निष्पादित करने की अनुमति देता है, जिससे संवेदनशील जानकारी का रिसाव, डेटा संशोधन या खाते पर पूर्ण नियंत्रण हो सकता है।

Organizations using Adobe Commerce, particularly those running versions 2.4.4-p16 and earlier, are at risk. Deployment patterns involving custom form extensions or integrations that handle user input without proper sanitization are especially vulnerable. Shared hosting environments where multiple tenants share the same Adobe Commerce instance should also be prioritized for patching.

• wordpress / composer / npm:

grep -r 'vulnerable_form_field_name' /var/www/html/app/code/Magento/...

• generic web:

curl -I https://example.com/vulnerable_form_page.html | grep -i 'x-xss-protection'

• generic web:

curl -I https://example.com/vulnerable_form_page.html | grep -i 'content-security-policy'

1. 2026-03-11Disclosure

   disclosure

1. आरक्षित2025-12-12
2. प्रकाशित2026-03-11
3. संशोधित2026-03-12
4. EPSS अद्यतन2026-03-23

वर्तमान में, Adobe ने इस भेद्यता के लिए कोई फिक्स प्रदान नहीं किया है। तत्काल शमन में XSS के लिए कमजोर प्रवेश बिंदुओं के लिए Adobe Commerce स्रोत कोड की गहन समीक्षा शामिल है। पृष्ठ पर प्रदर्शित करने से पहले सभी उपयोगकर्ता इनपुट के लिए सख्त इनपुट सत्यापन और आउटपुट एन्कोडिंग को लागू किया जाना चाहिए। उपयोगकर्ता विशेषाधिकारों को सीमित करना और न्यूनतम विशेषाधिकार के सिद्धांत को लागू करना भी अनुशंसित है ताकि सफल शोषण के संभावित प्रभाव को कम किया जा सके। संदिग्ध गतिविधि के लिए सर्वर लॉग की निगरानी करना भी महत्वपूर्ण है। प्रभावित उपयोगकर्ताओं को दृढ़ता से सलाह दी जाती है कि वे Adobe द्वारा भविष्य में जारी किए जा सकने वाले किसी भी अपडेट या पैच के बारे में जानकारी रखें।