平台
adobe
组件
adobe-commerce
修复版本
2.4.5-p15
2.4.6-p13
2.4.7-p8
2.4.8-p3
2.4.9-alpha3
CVE-2026-21291 是Adobe Commerce中发现的一个存储型跨站脚本 (XSS) 漏洞。高权限攻击者可以利用此漏洞将恶意脚本注入到易受攻击的表单字段中。当用户浏览包含易受攻击字段的页面时，恶意 JavaScript 可能会在受害者的浏览器中执行。受影响的版本包括0–2.4.4-p16。此漏洞的利用需要用户交互。
Adobe Commerce 中的 CVE-2026-21291 是一种存储型跨站脚本 (XSS) 漏洞，影响 2.4.9-alpha3 及更早版本。 高权限攻击者可以将恶意脚本注入到易受攻击的表单字段中。 这可能允许在用户的浏览器中执行任意代码，从而损害信息的机密性、完整性和可用性。 潜在影响包括窃取凭据、重定向到恶意网站以及操纵用户界面以欺骗用户。 此漏洞的严重程度评分为 CVSS 4.8，表明存在中等风险。 由于没有立即的修复程序，因此需要优先关注以减轻风险。
要利用此漏洞，用户需要访问包含易受攻击的表单字段的 Web 页面。 攻击者将恶意脚本注入到该字段中，当用户与该表单交互（例如，提交它）时，脚本将在用户的浏览器中执行。 由于需要用户交互，因此攻击者必须欺骗受害者访问该页面并填写该表单。 剥削的可能性取决于易受攻击页面的可见性和攻击者操纵用户的能力。 拥有管理员帐户访问权限的攻击者可能更容易利用此漏洞。
Organizations using Adobe Commerce versions 0–2.4.4-p16, particularly those with high-traffic storefronts or sensitive customer data, are at risk. Shared hosting environments where multiple tenants share the same Adobe Commerce instance are also at increased risk, as a compromise on one tenant's account could potentially affect others.
• magento / web:
grep -r "<script" /var/www/html/app/code/Magento/...• magento / web:
curl -I https://your-magento-site.com/form-page | grep Content-Security-Policy• wordpress / composer / npm: Review plugin code for improper output encoding of user-supplied data in form fields. • generic web: Monitor access logs for unusual requests targeting form submission endpoints.
disclosure
漏洞利用状态
EPSS
0.07% (22% 百分位)
CISA SSVC
CVSS 向量
由于 Adobe 没有提供官方修复程序，因此立即的缓解措施侧重于限制对漏洞的暴露。 强烈建议尽快应用安全补丁和 Adobe Commerce 更新。 实施严格的内容安全策略 (CSP) 可以帮助减少恶意脚本执行的风险。 在服务器端严格验证和清理所有用户输入对于防止代码注入至关重要。 监控服务器日志以查找可疑活动也是一种推荐的做法。 考虑实施 Web 应用程序防火墙 (WAF) 以过滤恶意流量。
Actualice Adobe Commerce a la última versión disponible. Asegúrese de aplicar los parches de seguridad proporcionados por Adobe para mitigar la vulnerabilidad XSS almacenada. Consulte el boletín de seguridad de Adobe para obtener instrucciones detalladas sobre la actualización y aplicación de parches.
漏洞分析和关键警报直接发送到您的邮箱。
2.4.9-alpha3、2.4.8-p3、2.4.7-p8、2.4.6-p13、2.4.5-p15、2.4.4-p16 及更早版本受到影响。
XSS (跨站脚本) 是一种安全漏洞，允许攻击者将恶意脚本注入到其他用户查看的 Web 页面中。
实施内容安全策略 (CSP)，验证和清理所有用户输入，应用安全补丁和更新，并监控服务器日志。
目前，Adobe 没有提供官方修复程序。 建议监控 Adobe 的安全更新。
WAF (Web 应用程序防火墙) 是一种安全工具，用于过滤进出 Web 应用程序的恶意流量。