CVE-2026-21291: XSS em Adobe Commerce (0–2.4.4-p16)

A exploração bem-sucedida desta vulnerabilidade XSS pode permitir que um atacante execute scripts maliciosos no navegador de um usuário. Isso pode levar ao roubo de cookies de sessão, redirecionamento para sites maliciosos, ou até mesmo à modificação do conteúdo da página web exibida ao usuário. Dado que o Adobe Commerce é frequentemente utilizado para comércio eletrônico, o impacto pode ser significativo, incluindo o comprometimento de informações confidenciais de clientes, como dados de cartão de crédito e informações pessoais. A necessidade de interação do usuário para a exploração limita o potencial de ataques em massa, mas ainda representa um risco considerável em ambientes onde usuários com privilégios elevados estão presentes.

Organizations using Adobe Commerce versions 0–2.4.4-p16, particularly those with high-traffic storefronts or sensitive customer data, are at risk. Shared hosting environments where multiple tenants share the same Adobe Commerce instance are also at increased risk, as a compromise on one tenant's account could potentially affect others.

• magento / web:

grep -r "<script" /var/www/html/app/code/Magento/...

• magento / web:

curl -I https://your-magento-site.com/form-page | grep Content-Security-Policy

• wordpress / composer / npm: Review plugin code for improper output encoding of user-supplied data in form fields. • generic web: Monitor access logs for unusual requests targeting form submission endpoints.

1. 2026-03-11Disclosure

   disclosure

1. Reservado2025-12-12
2. Publicada2026-03-11
3. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é atualizar o Adobe Commerce para uma versão corrigida. A Adobe lançou atualizações de segurança para resolver o problema. Se a atualização imediata não for possível, considere implementar workarounds, como a validação e sanitização rigorosas de todos os dados de entrada do usuário no lado do servidor. Implementar políticas de segurança de conteúdo (CSP) pode ajudar a mitigar o impacto de scripts maliciosos, mesmo que a vulnerabilidade não seja totalmente corrigida. Monitore os logs do servidor em busca de atividades suspeitas, como tentativas de injeção de script.