Adobe Commerce | 跨站脚本攻击 (存储型 XSS) (CWE-79)

Adobe Commerce 的 CVE-2026-21284 是一个存储型跨站脚本 (XSS) 漏洞，影响 2.4.9-alpha3 及更早版本。 高权限攻击者可以将恶意脚本注入到易受攻击的表单字段中。 当用户浏览包含易受攻击字段的页面时，恶意 JavaScript 可能会在其浏览器中执行，从而导致会话劫持，并损害机密性和完整性。 此漏洞特别令人担忧，因为它允许攻击者在用户上下文中执行任意代码，从而可能导致敏感信息泄露、数据修改或对帐户的完全控制。

Organizations using Adobe Commerce, particularly those running versions 2.4.4-p16 and earlier, are at risk. Deployment patterns involving custom form extensions or integrations that handle user input without proper sanitization are especially vulnerable. Shared hosting environments where multiple tenants share the same Adobe Commerce instance should also be prioritized for patching.

• wordpress / composer / npm:

grep -r 'vulnerable_form_field_name' /var/www/html/app/code/Magento/...

• generic web:

curl -I https://example.com/vulnerable_form_page.html | grep -i 'x-xss-protection'

• generic web:

curl -I https://example.com/vulnerable_form_page.html | grep -i 'content-security-policy'

1. 2026-03-11Disclosure

   disclosure

1. 已保留2025-12-12
2. 发布日期2026-03-11
3. 修改日期2026-03-12
4. EPSS 更新日期2026-03-23

目前，Adobe 尚未为此漏洞提供修复程序。 立即缓解措施包括彻底审查 Adobe Commerce 源代码，查找 XSS 漏洞的入口点。 必须在将用户输入显示在页面上之前，对所有用户输入实施严格的输入验证和输出编码。 此外，建议限制用户权限并应用最小权限原则，以减少成功利用的潜在影响。 监控服务器日志是否存在可疑活动也很重要。 受影响的用户应随时了解 Adobe 可能在未来发布的任何更新或补丁。