Bezpečnostní bulletin společnosti Adobe

Hledat

Aktualizace zabezpečení dostupná pro Adobe Commerce | APSB26-49

ID bulletinu

Datum zveřejnění

Priorita

APSB26-49

12. května 2026

2

Shrnutí

Společnost Adobe vydala aktualizaci zabezpečení pro software Adobe Commerce a Magento Open Source. Tato aktualizace řeší kritické, důležité a střední zranitelnosti. Úspěšné zneužití by mohlo vést k libovolnému spuštění kódu, libovolnému zápisu do systému souborů, odmítnutí služby aplikace a obejití bezpečnostních funkcí.

Společnost Adobe neví o žádném zneužití chyb vyřešených v těchto aktualizací v reálném prostředí.

Dotčené verze

Produkt Verze Úroveň priority Platforma
 Adobe Commerce

2.4.9-beta1

2.4.8-p4 a starší

2.4.7-p9 a starší

2.4.6-p14 a starší

2.4.5-p16 a starší

2.4.4-p17 a starší

 2 Vše
Adobe Commerce B2B

1.5.3-beta1

1.5.2-p4 a starší

1.4.2-p9 a starší

1.3.4-p16 a starší

1.3.3-p17 a starší

 2 Vše
Magento Open Source

2.4.9-beta1

2.4.8-p4 a starší

2.4.7-p9 a starší

2.4.6-p14 a starší

 2 Vše

Řešení

Společnost Adobe označuje tyto aktualizace následujícími hodnoceními priority a doporučuje uživatelům aktualizovat produkt na nejnovější verzi.

Produkt Aktualizovaná verze Platforma Úroveň priority Pokyny pro instalaci
Adobe Commerce

2.4.9

2.4.8-p5

2.4.7-p10

2.4.6-p15

2.4.5-p17

2.4.4-p18

 Vše 2 Poznámky k vydání 2.4.x
Adobe Commerce B2B

1.5.3

1.5.2-p5

1.4.2-p10

1.3.4-p17

1.3.3-p18

 Vše 2 Poznámky k vydání 2.4.x
Magento Open Source

2.4.9

2.4.8-p5

2.4.7-p10

2.4.6-p15

 Vše 2 Poznámky k vydání 2.4.x

Společnost Adobe označuje tyto aktualizace následujícími hodnoceními priority a doporučuje uživatelům aktualizovat produkt na nejnovější verzi.

Podrobnosti o chybě zabezpečení

Kategorie chyby zabezpečení Dopad chyby zabezpečení Závažnost Je ke zneužití vyžadováno ověření? Je ke zneužití nutné mít oprávnění správce?
 Základní hodnocení CVSS
 Vektor CVSS
 Čísla CVE Poznámky
Nesprávná autorizace (CWE-863) Obcházení bezpečnostních funkcí Kritická Ne Ano 7.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N CVE-2026-34645  
Nesprávná autorizace (CWE-863) Obcházení bezpečnostních funkcí Kritická Ne Ano 7.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N CVE-2026-34646  
Útoky SSRF (Server-Side Request Forgery) (CWE-918) Obcházení bezpečnostních funkcí Kritická Ne Ano 7.4 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N CVE-2026-34647  
Nekontrolované využívání prostředků (CWE-400) Útoky DoS na aplikace Kritická Ne Ne 7,5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVE-2026-34648  
Nekontrolované využívání prostředků (CWE-400) Útoky DoS na aplikace Kritická Ne Ne 7,5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVE-2026-34649  
Nekontrolované využívání prostředků (CWE-400) Útoky DoS na aplikace Kritická Ne Ne 7,5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVE-2026-34650  
Nekontrolované využívání prostředků (CWE-400) Útoky DoS na aplikace Kritická Ne Ne 7,5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVE-2026-34651  
Závislost na zranitelné komponentě třetí strany (CWE-1395) Útoky DoS na aplikace Kritická Ne Ne 7,5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVE-2026-34652  
Skriptování mezi weby (uložený XSS) (CWE-79) Svévolné spuštění kódu Kritická Ano Ano 8.7 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N CVE-2026-34686  
Nesprávné omezení názvu cesty do omezeného adresáře („Procházení cesty“) (CWE-22) Nahodilý zápis do souborového systému Kritická Ano Ano 8.7 CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N CVE-2026-34653  
Závislost na zranitelné komponentě třetí strany (CWE-1395) Útoky DoS na aplikace Důležitá Ano Ne 5.3 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L CVE-2026-34654  
Skriptování mezi weby (uložený XSS) (CWE-79) Svévolné spuštění kódu Důležitá Ano Ano 4.8 CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N CVE-2026-34655  
Neodpovídající ověření totožnosti (CWE-285) Obcházení bezpečnostních funkcí důležité Ne Ne 4.3 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N CVE-2026-34656  
Skriptování mezi weby (uložený XSS) (CWE-79) Svévolné spuštění kódu Důležitá Ano Ano 4.8 CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N CVE-2026-34658  
Nesprávné ověření vstupu (CWE-20) Svévolné spuštění kódu Střední Ano Ano 3.4 CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:N/I:L/A:N CVE-2026-34685  
Poznámka:

Ke zneužití je vyžadováno ověření: Tuto chybu může (nebo nemůže) zneužít útočník bez přihlašovacích údajů.


Vyžaduje oprávnění správce: Tuto chybu může (nebo nemůže) zneužít pouze útočník s oprávněním správce.

Poděkování

Společnost Adobe by ráda poděkovala za nahlášení těchto potíží a za spolupráci při ochraně našich zákazníků následujícím výzkumníkům:

  • thlassche -- CVE-2026-34645, CVE-2026-34646, CVE-2026-34656
  • 0x0doteth -- CVE-2026-34647
  • bau1u -- CVE-2026-34648, CVE-2026-34649, CVE-2026-34650, CVE-2026-34651
  • wash0ut -- CVE-2026-34652

  • rez0 -- CVE-2026-34653

  • akouba -- CVE-2026-34654

  • srcoder -- CVE-2026-34655

  • schemonah -- CVE-2026-34658
  • truff -- CVE-2026-34685
  • Ray Wolf (raywolfmaster) -- CVE-2026-34686

POZNÁMKA: Společnost Adobe má ve spolupráci se společnosti HackerOne veřejný program Bug Bounty. Pokud máte zájem o spolupráci se společností Adobe jako externí výzkumník v oblasti zabezpečení, podívejte se na stránku https://hackerone.com/adobe.

Další informace najdete na adrese https://helpx.adobe.com/cz/security.html nebo o ně zažádejte e-mailem na adresu PSIRT@adobe.com.

Adobe, Inc.

Získejte pomoc rychleji a snáze

Nový uživatel?

Rychlé odkazy

Zobrazit všechny vaše plány Správa plánů
Zobrazit rychlé odkazy
Skrýt rychlé odkazy