プラットフォーム
adobe
コンポーネント
adobe-commerce
修正版
2.4.5
2.4.6
2.4.7
2.4.8
2.4.9
2.4.9
CVE-2026-21292は、Adobe Commerceにおける保存型クロスサイトスクリプティング（XSS）脆弱性です。この脆弱性を悪用されると、攻撃者は低権限で、脆弱なフォームフィールドに悪意のあるスクリプトを注入できる可能性があります。影響を受けるバージョンはAdobe Commerce 2.4.9以前（0–2.4.4-p16を含む）です。Adobeは修正を提供しています。
このXSS脆弱性は、攻撃者が悪意のあるスクリプトをAdobe Commerceのフォームフィールドに注入することを可能にします。攻撃者は、ユーザーが脆弱なページを閲覧した際に、そのスクリプトを実行させることができます。これにより、攻撃者はユーザーのブラウザ内で任意のJavaScriptコードを実行し、Cookieを盗んだり、ユーザーを悪意のあるWebサイトにリダイレクトしたり、Webサイトのコンテンツを改ざんしたりする可能性があります。この脆弱性の影響範囲は、フォームフィールドが使用されているWebサイトの規模と、そのWebサイトを閲覧するユーザー数に依存します。
このCVEは2026年3月11日に公開されました。現時点では、この脆弱性を悪用する公開されているPoCは確認されていません。CISA KEVカタログへの登録状況は不明です。この脆弱性は、ユーザーの操作が必要なため、自動的な大規模攻撃のリスクは比較的低いと考えられます。
Organizations heavily reliant on Adobe Commerce for their e-commerce operations are at significant risk. Specifically, those running older, unpatched versions (0–2.4.4-p16) are particularly vulnerable. Shared hosting environments where multiple tenants share the same server infrastructure could also be affected if one tenant's instance is compromised.
• wordpress / composer / npm:
grep -r "<script" /var/www/html/app/code/Magento/...• generic web:
curl -I https://your-magento-site.com/vulnerable-form | grep Content-Security-Policy• generic web: Review access logs for unusual POST requests to form submission endpoints, especially those containing suspicious characters or patterns.
disclosure
エクスプロイト状況
EPSS
0.03% (9% パーセンタイル)
CISA SSVC
CVSS ベクトル
Adobeは、この脆弱性を修正するパッチをリリースしています。まず、Adobe Commerceをバージョン2.4.9以降にアップデートすることを強く推奨します。アップデートがすぐに利用できない場合は、入力検証を強化し、出力エンコードを適切に行うことで、XSS攻撃のリスクを軽減できます。Webアプリケーションファイアウォール（WAF）を導入し、XSS攻撃を検出し、ブロックするように設定することも有効です。また、サードパーティ製のセキュリティプラグインを利用して、XSS攻撃を防止することも検討できます。
Adobe Commerce を最新バージョンにアップデートしてください。詳細と具体的なアップデート手順については、Adobe セキュリティアドバイザリーを参照してください。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-21292は、Adobe Commerce 2.4.9以前のバージョンに存在する保存型クロスサイトスクリプティング（XSS）脆弱性です。攻撃者は、脆弱なフォームフィールドに悪意のあるスクリプトを注入できる可能性があります。
はい、影響があります。攻撃者は、ユーザーのブラウザ内で任意のJavaScriptコードを実行し、Cookieを盗んだり、ユーザーを悪意のあるWebサイトにリダイレクトしたり、Webサイトのコンテンツを改ざんしたりする可能性があります。
Adobe Commerceをバージョン2.4.9以降にアップデートすることを強く推奨します。アップデートがすぐに利用できない場合は、入力検証を強化し、出力エンコードを適切に行うことで、XSS攻撃のリスクを軽減できます。
現時点では、この脆弱性を悪用する公開されているPoCは確認されていませんが、将来的に悪用される可能性はあります。
Adobe Security Bulletinを参照してください。詳細はAdobeの公式ウェブサイトで確認してください。