Adobe Commerce | Cross-site Scripting (Stored XSS) (CWE-79)

A exploração bem-sucedida desta vulnerabilidade XSS armazenada permite que um atacante injete código JavaScript malicioso em campos de formulário do Adobe Commerce. Quando um usuário acessa a página contendo o campo vulnerável, o script injetado é executado no navegador da vítima. Isso pode levar à captura de sessão, permitindo que o atacante assuma o controle da conta do usuário. Além disso, o atacante pode usar essa vulnerabilidade para redirecionar usuários para sites maliciosos, exibir conteúdo falso ou roubar informações confidenciais, como credenciais de login ou dados de cartão de crédito. O impacto é amplificado em ambientes de e-commerce, onde informações sensíveis são frequentemente processadas.

Organizations utilizing Adobe Commerce versions 0–2.4.4-p16, particularly those with custom extensions or integrations that handle user input, are at significant risk. Shared hosting environments where multiple tenants share the same Adobe Commerce instance are also vulnerable, as an attacker compromising one tenant could potentially exploit this vulnerability to affect others.

• wordpress / composer / npm:

grep -r "<script>" /var/www/html/app/code/Magento/*

• generic web:

curl -I https://your-magento-site.com/form-page | grep Content-Security-Policy

• generic web: Check access and error logs for suspicious POST requests containing <script> tags or other XSS payloads. • generic web: Inspect form field input and output for unexpected HTML or JavaScript code.

1. 2026-03-11Disclosure

   disclosure

1. Reservado2025-12-12
2. Publicada2026-03-11
3. Modificada2026-03-12
4. EPSS atualizado2026-03-23

A correção primária é atualizar o Adobe Commerce para uma versão corrigida (superior a 2.4.4-p16). Se a atualização imediata não for possível, considere implementar medidas de mitigação. Implemente regras de Web Application Firewall (WAF) para filtrar solicitações HTTP que contenham payloads XSS conhecidos. Valide e sanitize rigorosamente todas as entradas de usuário antes de exibi-las em páginas web. Desative ou remova quaisquer funcionalidades desnecessárias que possam ser exploradas para injetar scripts maliciosos. Monitore logs de acesso e erro em busca de padrões suspeitos que possam indicar tentativas de exploração. Após a atualização, confirme a correção verificando se os campos de formulário não permitem a injeção de scripts.