Adobe Commerce | 跨站脚本 (存储型 XSS) (CWE-79)

攻击者可以利用此 XSS 漏洞将恶意 JavaScript 代码注入到 Adobe Commerce 网站的表单字段中。当受害者访问包含恶意脚本的页面时，脚本将在用户的浏览器中执行。这可能导致攻击者窃取用户的 Cookie、会话令牌或其他敏感信息。攻击者还可以利用此漏洞重定向用户到恶意网站、篡改网站内容或执行其他恶意操作。由于需要用户交互（浏览到包含漏洞表单的页面），因此攻击的成功率取决于用户是否会点击恶意链接或访问被篡改的页面。

Organizations heavily reliant on Adobe Commerce for their e-commerce operations are at significant risk. Specifically, those running older, unpatched versions (0–2.4.4-p16) are particularly vulnerable. Shared hosting environments where multiple tenants share the same server infrastructure could also be affected if one tenant's instance is compromised.

• wordpress / composer / npm:

grep -r "<script" /var/www/html/app/code/Magento/...

• generic web:

curl -I https://your-magento-site.com/vulnerable-form | grep Content-Security-Policy

• generic web: Review access logs for unusual POST requests to form submission endpoints, especially those containing suspicious characters or patterns.

1. 2026-03-11Disclosure

   disclosure

1. 已保留2025-12-12
2. 发布日期2026-03-11
3. EPSS 更新日期2026-03-23

Adobe 建议用户立即升级到已修复的版本。具体来说，升级到 Adobe Commerce 2.4.9 或更高版本可以解决此漏洞。如果无法立即升级，可以考虑实施一些临时缓解措施，例如输入验证和输出编码。此外，实施内容安全策略 (CSP) 可以帮助防止 XSS 攻击。请务必仔细审查所有用户输入，并对输出进行适当的编码，以防止恶意脚本注入。升级后，请验证修复是否成功，例如通过尝试在受影响的表单字段中注入简单的 JavaScript 代码。