Adobe 安全公告

搜索

Adobe Commerce 的安全更新 | APSB25-08

公告 ID

发布日期

优先级

APSB25-08

2025 年 2 月 11 日

1

摘要

Adobe 发布了 Adobe Commerce 和 Magento Open Source 的安全更新。此更新解决了多个关键、重要和中等漏洞。  如果这些漏洞遭到恶意利用，可能会导致任意代码执行、绕过安全功能和权限提升。

Adobe 尚未收到任何有关这些更新中所述漏洞被人利用的信息。

受影响的版本

产品 版本 平台
 Adobe Commerce
 2.4.8-beta1
2.4.7-p3 及更早版本
2.4.6-p8 及更早版本
2.4.5-p10 及更早版本
2.4.4-p11 及更早版本		 全部
Adobe Commerce B2B

1.5.0 及更早版本

1.4.2-p3 及更早版本
1.3.5-p8 及更早版本
1.3.4-p10 及更早版本
1.3.3-p11 及更早版本

 全部
Magento Open Source 2.4.8-beta1
2.4.7-p3 及更早版本
2.4.6-p8 及更早版本
2.4.5-p10 及更早版本
2.4.4-p11 及更早版本		 全部

解决方案

Adobe 按照以下优先级将这些更新分类，并建议用户将其安装的软件更新至最新版本。

产品 更新后的版本 平台 优先级 安装说明
Adobe Commerce

2.4.8-beta2 替换 2.4.8-beta1
2.4.7-p4 替换 2.4.7-p3 及更早版本
2.4.6-p9 替换 2.4.6-p8 及更早版本
2.4.5-p11 替换 2.4.5-p10 及更早版本
2.4.4-p12 替换 2.4.4-p11 及更早版本

 全部
 2

2.4.x 发行说明

 
Adobe Commerce B2B

1.5.1 及更早版本

1.4.2-p4 替换 1.4.2-p3 及更早版本
1.3.5-p9 替换 1.3.5-p8 及更早版本
1.3.4-p11 替换 1.3.4-p10 及更早版本
1.3.3-p12 替换 1.3.3-p11 及更早版本

 全部 2
Magento Open Source 

2.4.8-beta2 替换 2.4.8-beta1
2.4.7-p4 替换 2.4.7-p3 及更早版本
2.4.6-p9 替换 2.4.6-p8 及更早版本
2.4.5-p11 替换 2.4.5-p10 及更早版本
2.4.4-p12 替换 2.4.4-p11 及更早版本

 全部
 2
Adobe Commerce 和 Magento Open Source 针对 CVE-2025-24434 的独立修补程序 全部 1 针对 CVE-2025-24434 的独立修补程序发行说明

Adobe 按照以下优先级将这些更新分类，并建议用户将其安装的软件更新至最新版本。

漏洞详情

漏洞类别 漏洞影响 严重性 利用漏洞需要验证身份？ 利用漏洞需要管理员权限？
 CVSS 基础评分
 CVSS 向量
 CVE 编号 备注
对受限目录路径名称的限制不当（“路径遍历”）(CWE-22) 权限升级 关键
 是 是 7.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N CVE-2025-24406  
不正确的授权 (CWE-863) 安全功能旁路 关键 是 否 7.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N CVE-2025-24407 仅适用于 B2B 版本
信息披露 (CWE-200) 权限升级 关键 是 是 8.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H CVE-2025-24408  
不当的授权 (CWE-285) 安全功能旁路 关键 是 否 8.2 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N CVE-2025-24409  
不当的授权 (CWE-285) 权限升级 关键 否 否 9.4 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L CVE-2025-24434  
跨站点脚本（存储型 XSS）(CWE-79) 任意代码执行 关键 是 是 8.7 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N CVE-2025-24410  
不当的访问控制（CWE-284） 安全功能旁路 关键 是 是 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVE-2025-24411  
跨站点脚本（存储型 XSS）(CWE-79) 任意代码执行 关键 是 是 8.9 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L CVE-2025-24412  
跨站点脚本（存储型 XSS）(CWE-79) 任意代码执行 关键 是 是 8.7 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N CVE-2025-24438  
跨站点脚本（存储型 XSS）(CWE-79) 任意代码执行 关键 是 是 8.9 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L CVE-2025-24413  
跨站点脚本（存储型 XSS）(CWE-79) 任意代码执行 关键 是 是 8.9 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L CVE-2025-24414  
跨站点脚本（存储型 XSS）(CWE-79) 任意代码执行 关键 是 是 8.9 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L CVE-2025-24415  
跨站点脚本（存储型 XSS）(CWE-79) 任意代码执行 关键 是 是 8.9 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L CVE-2025-24416  
跨站点脚本（存储型 XSS）(CWE-79) 任意代码执行 关键 是 是 8.9 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L CVE-2025-24417  
违反安全设计原则（CWE-657） 权限升级 重要 是 否 6.5 CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N CVE-2025-24418 仅适用于 B2B 版本
不正确的授权 (CWE-863) 安全功能旁路 重要 是 否 4.3 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N CVE-2025-24419 仅适用于 B2B 版本
不正确的授权 (CWE-863) 安全功能旁路 重要 是 否 4.3 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N CVE-2025-24420 仅适用于 B2B 版本
不正确的授权 (CWE-863) 安全功能旁路 重要 是 是 4.3 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N CVE-2025-24421  
不当的访问控制（CWE-284） 安全功能旁路 重要 否 否 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVE-2025-24422 仅适用于 B2B 版本
不当的访问控制（CWE-284） 权限升级 重要 是 否 4.3 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N CVE-2025-24423 仅适用于 B2B 版本
不当的访问控制（CWE-284） 权限升级 重要 是 是 4.3 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N CVE-2025-24435  
不当的访问控制（CWE-284） 权限升级 重要 是 是 4.3 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N CVE-2025-24436  
不当的访问控制（CWE-284） 权限升级 重要 是 是 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N CVE-2025-24437  
不当的访问控制（CWE-284） 安全功能旁路 重要 是 否 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVE-2025-24424 仅适用于 B2B 版本
业务逻辑错误 (CWE-840) 安全功能旁路 重要 是 否 5.3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N CVE-2025-24425  
不当的访问控制（CWE-284） 安全功能旁路 重要 是 否 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVE-2025-24426 仅适用于 B2B 版本
不当的访问控制（CWE-284） 安全功能旁路 重要 是 是 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N CVE-2025-24427  
跨站点脚本（存储型 XSS）(CWE-79) 任意代码执行 重要 是 否 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2025-24428  
不当的访问控制（CWE-284） 安全功能旁路 中等 是 是 3.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N CVE-2025-24429  
检查时间与使用时间 (TOCTOU) 竞争条件攻击 (CWE-367) 安全功能旁路 中等 否 否 3.7 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N CVE-2025-24430  
检查时间与使用时间 (TOCTOU) 竞争条件攻击 (CWE-367) 安全功能旁路 中等 否 否 3.7 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N CVE-2025-24432  
注意:

利用漏洞需要验证身份：该漏洞无需凭据即可被利用（或无法利用）。


利用漏洞需要管理员权限：该漏洞仅具有管理员权限的攻击者可以利用（或无法利用）。

鸣谢

Adobe 衷心感谢以下研究人员报告这些问题并与 Adobe 一起保护我们的客户：

  • Akash Hamal (akashhamal0x01) - CVE-2025-24411、CVE-2025-24418、CVE-2025-24419、CVE-2025-24420、CVE-2025-24421、CVE-2025-24422、CVE-2025-24423、CVE-2025-24424、CVE-2025-24425、CVE-2025-24426、CVE-2025-24427、CVE-2025-24429、CVE-2025-24435、CVE-2025-24437
  • wohlie - CVE-2025-24408、CVE-2025-24410、CVE-2025-24412、CVE-2025-24413、CVE-2025-24414、CVE-2025-24415、CVE-2025-24416、CVE-2025-24417、CVE-2025-24436、CVE-2025-24438  
  • thlassche - CVE-2025-24409、CVE-2025-24428、CVE-2025-24434
  • Alexandrio - CVE-2025-24407
  • g0ndaar - CVE-2025-24430
  • sheikhrishad0 - CVE-2025-24432

  • Icare - CVE-2025-24406

注意：Adobe 通过 HackerOne 开展私密的有奖挖洞邀请项目。如果您有兴趣作为外部安全研究人员与 Adobe 合作，请填写此表格，用于后续流程。

有关更多信息，请访问 https://helpx.adobe.com/cn/security.html，或发送电子邮件至 PSIRT@adobe.com。

更快、更轻松地获得帮助

新用户？

快速链接

查看您的所有计划 管理您的计划
查看快速链接
隐藏快速链接