Adobe Commerce | 跨站脚本攻击 (存储型 XSS) (CWE-79)

Adobe Commerce 的 CVE-2026-21290 是一个存储型跨站脚本 (XSS) 漏洞，影响 2.4.9-alpha3 及更早版本。低权限攻击者可以将恶意脚本注入到易受攻击的表单字段中。当受害者浏览包含易受攻击字段的页面时，恶意 JavaScript 可能会在其浏览器中执行，从而导致会话劫持、机密性和完整性受损。CVSS 评分达到 8.7，表明风险很高。由于没有提供修复程序 (fix: none)，情况更加严重，需要立即采取措施来降低风险。

Organizations utilizing Adobe Commerce versions 0–2.4.4-p16, particularly those with custom extensions or integrations that handle user input, are at significant risk. Shared hosting environments where multiple tenants share the same Adobe Commerce instance are also vulnerable, as an attacker compromising one tenant could potentially exploit this vulnerability to affect others.

• wordpress / composer / npm:

grep -r "<script>" /var/www/html/app/code/Magento/*

• generic web:

curl -I https://your-magento-site.com/form-page | grep Content-Security-Policy

• generic web: Check access and error logs for suspicious POST requests containing <script> tags or other XSS payloads. • generic web: Inspect form field input and output for unexpected HTML or JavaScript code.

1. 2026-03-11Disclosure

   disclosure

1. 已保留2025-12-12
2. 发布日期2026-03-11
3. 修改日期2026-03-12
4. EPSS 更新日期2026-03-23

由于没有提供官方修复程序 (fix: none)，缓解措施侧重于预防措施。强烈建议在将用户输入显示在页面上之前，在服务器端彻底验证所有用户输入。实施严格的内容安全策略 (CSP) 可以帮助减少恶意脚本执行的影响。积极监控服务器日志以查找可疑活动，并在 Adobe Commerce 安全补丁可用时立即应用至关重要。考虑使用漏洞扫描工具来识别和修复应用程序中的潜在弱点。