Adobe Commerce | 跨站脚本 (存储型 XSS) (CWE-79)

Adobe Commerce 的 CVE-2026-21311 是一个存储型跨站脚本 (XSS) 漏洞，影响 2.4.9-alpha3 及更早版本。 高权限攻击者可以将恶意脚本注入到易受攻击的表单字段中。 当用户浏览包含易受攻击字段的页面时，恶意 JavaScript 可能会在其浏览器中执行，从而导致会话劫持、机密性和完整性受损。 此漏洞尤其令人担忧，因为它允许攻击者在用户上下文中执行任意代码，从而可能导致数据篡改、凭据盗窃和其他恶意行为。 由于没有直接的修复 (fix: none)，因此需要立即采取行动并实施缓解措施。

Organizations using Adobe Commerce for their e-commerce operations are at risk, particularly those running versions 0–2.4.4-p16. Shared hosting environments that utilize Adobe Commerce are also at increased risk, as vulnerabilities in one tenant can potentially impact others. Businesses that have not implemented robust input validation and sanitization practices are also more vulnerable.

• wordpress / composer / npm:

grep -r "<script" /var/www/html/app/code/Magento/...

• generic web:

curl -I https://example.com/vulnerable-form | grep Content-Type

• generic web: Check access and error logs for unusual JavaScript injection attempts. • generic web: Inspect form field input validation and sanitization routines for weaknesses.

1. 2026-03-11Disclosure

   disclosure

1. 已保留2025-12-12
2. 发布日期2026-03-11
3. 修改日期2026-03-12
4. EPSS 更新日期2026-03-23

由于没有官方修复 (fix: none)，因此强烈建议立即采取缓解措施。 这些措施包括在服务器端严格验证和清理输入、实施内容安全策略 (CSP) 以限制 JavaScript 来源，以及持续监控平台是否存在可疑活动。 此外，建议在发布修复程序后升级到最新版本的 Adobe Commerce。 应用“纵深防御”方法对于最大限度地降低利用风险至关重要。 考虑实施 Web 应用程序防火墙 (WAF) 以过滤恶意流量。