Magento Open Source での Cross-Site Scripting (XSS) の脆弱性

このXSS脆弱性は、攻撃者にとって非常に危険です。攻撃者は、Magentoの管理画面に悪意のあるJavaScriptコードを挿入することで、管理者のセッションを乗っ取り、機密情報へのアクセス、データの改ざん、さらにはMagentoストア全体の制御を奪うことが可能になります。攻撃者は、被害者のブラウザ上で悪意のあるスクリプトを実行させることで、ユーザーの認証情報を盗み出したり、フィッシング詐欺を実行したりすることも可能です。この脆弱性の悪用は、Magentoストアの評判を著しく損ない、顧客の信頼を失墜させる可能性があります。類似のXSS脆弱性は、過去に多くのECサイトで確認されており、その影響の大きさが懸念されます。

Organizations running Magento Community Edition versions 2.4.6-p3, 2.4.5-p5, 2.4.4-p6, and earlier are at significant risk. Specifically, those with limited resources for immediate patching or those relying on shared hosting environments where patching is managed by the hosting provider are particularly vulnerable. Magento installations with weak admin panel access controls are also at higher risk.

• wordpress / composer / npm:

grep -r "<script" /var/www/html/app/code/Magento/Admin/block/

• generic web:

curl -I https://your-magento-site.com/admin/ | grep -i "X-XSS-Protection"

• generic web:

curl -I https://your-magento-site.com/admin/ | grep -i "Content-Security-Policy"

1. 2024-02-15Disclosure

   disclosure

1. 予約済み2023-12-04
2. 公開日2024-02-15
3. 更新日2025-03-04
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、Magento Community Editionをバージョン2.4.4以降にアップデートすることです。アップデートがすぐに適用できない場合は、WAF（Web Application Firewall）を導入し、XSS攻撃を検知・防御するルールを設定することを推奨します。また、入力値の検証を強化し、管理画面への不正なスクリプトの挿入を防止するための対策を講じることも重要です。Magentoのセキュリティ設定を見直し、不要な機能やプラグインを無効化することで、攻撃対象領域を縮小することも有効です。アップデート後、Magentoの管理画面にログインし、セキュリティ関連のログを確認し、不正なアクセスがないか確認してください。