Adobe Commerce | クロスサイトスクリプティング (Stored XSS) (CWE-79)

このXSS脆弱性を悪用されると、攻撃者は被害者のブラウザ上で任意のJavaScriptコードを実行できます。これにより、セッションの乗っ取り、機密情報の窃取、ウェブサイトの改ざんなどの攻撃が可能になります。特に、高権限を持つユーザーがフォームフィールドを操作している場合、攻撃の影響は甚大になる可能性があります。攻撃者は、悪意のあるスクリプトを通じて、ユーザーの認証情報を盗み出し、不正な操作を実行したり、他のシステムへのアクセスを試みたりする可能性があります。この脆弱性は、Adobe Commerceのセキュリティを著しく損なうものであり、迅速な対応が必要です。

Organizations using Adobe Commerce, particularly those running versions 2.4.4-p16 and earlier, are at risk. Deployment patterns involving custom form extensions or integrations that handle user input without proper sanitization are especially vulnerable. Shared hosting environments where multiple tenants share the same Adobe Commerce instance should also be prioritized for patching.

• wordpress / composer / npm:

grep -r 'vulnerable_form_field_name' /var/www/html/app/code/Magento/...

• generic web:

curl -I https://example.com/vulnerable_form_page.html | grep -i 'x-xss-protection'

• generic web:

curl -I https://example.com/vulnerable_form_page.html | grep -i 'content-security-policy'

1. 2026-03-11Disclosure

   disclosure

1. 予約済み2025-12-12
2. 公開日2026-03-11
3. 更新日2026-03-12
4. EPSS 更新日2026-03-23

この脆弱性への対応として、まずAdobe Commerceをバージョン2.4.9-alpha3以降にアップデートすることを推奨します。アップデートが困難な場合は、入力値の検証を強化し、出力値を適切にエスケープすることで、XSS攻撃のリスクを軽減できます。Web Application Firewall (WAF) を導入し、XSS攻撃のパターンを検知・防御することも有効です。また、不必要なフォームフィールドの削除や、フォームのアクセス制限を設けることも効果的な対策となります。アップデート後、フォームフィールドの入力と表示が正常に行われていることを確認してください。