Bulletin-ID
Sist oppdatert
18. mai 2026
Sikkerhetsoppdatering tilgjengelig for Adobe Commerce | APSB26-49
|
|
Publiseringsdato |
Prioritet |
|---|---|---|
|
APSB26-49 |
12. mai 2026 |
2 |
Sammendrag
Adobe har lansert sikkerhetsoppdateringer for Adobe Commerce og Magento Open Source. Denne oppdateringen løser kritiske, viktige og moderate sårbarheter. Vellykket utnyttelse kan føre til vilkårlig kodekjøring, vilkårlig filsystemskriving, tjenestenekt og omgåelse av sikkerhetsfunksjoner.
Adobe kjenner ikke til aktiv utnyttelse av noen av problemene som løses av disse oppdateringene.
Berørte versjoner
| Produkt | Versjon | Prioritetsklassifisering | Plattform |
|---|---|---|---|
| Adobe Commerce |
2.4.9-beta1 2.4.8-p4 og tidligere 2.4.7-p9 og tidligere 2.4.6-p14 og tidligere 2.4.5-p16 og tidligere 2.4.4-p17 og tidligere |
2 | Alle |
| Adobe Commerce B2B |
1.5.3-beta1 1.5.2-p4 og tidligere 1.4.2-p9 og tidligere 1.3.4-p16 og tidligere 1.3.3-p17 og tidligere |
2 | Alle |
| Magento Open Source | 2.4.9-beta1 2.4.8-p4 og tidligere 2.4.7-p9 og tidligere 2.4.6-p14 og tidligere |
2 | Alle |
Løsning
Adobe kategoriserer disse oppdateringene med følgende prioritetsklassifiseringer og anbefaler at brukerne oppdaterer installasjonen til den nyeste versjonen.
| Produkt | Oppdatert versjon | Plattform | Prioritetsklassifisering | Installasjonsinstruksjoner |
|---|---|---|---|---|
| Adobe Commerce | 2.4.9 2.4.8-p5 2.4.7-p10 2.4.6-p15 2.4.5-p17 2.4.4-p18 |
Alle | 2 | Utgivelsesnotater for 2.4.x |
| Adobe Commerce B2B | 1.5.3 1.5.2-p5 1.4.2-p10 1.3.4-p17 1.3.3-p18 |
Alle | 2 | Utgivelsesnotater for 2.4.x |
| Magento Open Source | 2.4.9 2.4.8-p5 2.4.7-p10 2.4.6-p15 |
Alle | 2 | Utgivelsesnotater for 2.4.x |
Adobe kategoriserer disse oppdateringene med følgende prioritetsklassifiseringer og anbefaler at brukerne oppdaterer installasjonen til den nyeste versjonen.
Informasjon om sikkerhetsproblemet
| Sikkerhetsproblemkategori | Sikkerhetsprobleminnvirkning | Alvorlighetsgrad | Er godkjenning nødvendig for å bruke produktet? | Krever bruk administratorrettigheter? |
CVSS-grunnscore |
CVSS-vektor |
CVE-nummer/-numre | Notater |
|---|---|---|---|---|---|---|---|---|
| Feil autorisasjon (CWE-863) | Omgåelse av sikkerhetsfunksjon | Kritisk | No | Ja | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N | CVE-2026-34645 | |
| Feil autorisasjon (CWE-863) | Omgåelse av sikkerhetsfunksjon | Kritisk | No | Ja | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N | CVE-2026-34646 | |
| Forfalskning av forespørsel på serverside (SSRF) (CWE-918) | Omgåelse av sikkerhetsfunksjon | Kritisk | No | Ja | 7.4 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N | CVE-2026-34647 | |
| Ukontrollert ressursforbruk (CWE-400) | Tjenestenekt for program | Kritisk | No | No | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | CVE-2026-34648 | |
| Ukontrollert ressursforbruk (CWE-400) | Tjenestenekt for program | Kritisk | No | No | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | CVE-2026-34649 | |
| Ukontrollert ressursforbruk (CWE-400) | Tjenestenekt for program | Kritisk | No | No | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | CVE-2026-34650 | |
| Ukontrollert ressursforbruk (CWE-400) | Tjenestenekt for program | Kritisk | No | No | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | CVE-2026-34651 | |
| Avhengighet av sårbar tredjeparts komponent (CWE-1395) | Tjenestenekt for program | Kritisk | No | No | 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | CVE-2026-34652 | |
| Skripting på tvers av nettsteder (lagret XSS) (CWE-79) | Kjøring av vilkårlig kode | Kritisk | Ja | Ja | 8.7 | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N | CVE-2026-34686 | |
| Feil begrensning av banekrysning til en begrenset katalog (Path Traversal) (CWE-22) | Arbitrært filsystem-skriving | Kritisk | Ja | Ja | 8.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N | CVE-2026-34653 | |
| Avhengighet av sårbar tredjeparts komponent (CWE-1395) | Tjenestenekt for program | Viktig | Ja | No | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L | CVE-2026-34654 | |
| Skripting på tvers av nettsteder (lagret XSS) (CWE-79) | Kjøring av vilkårlig kode | Viktig | Ja | Ja | 4.8 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N | CVE-2026-34655 | |
| Upassende autorisasjon (CWE-285) | Omgåelse av sikkerhetsfunksjon | viktig | No | No | 4.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N | CVE-2026-34656 | |
| Skripting på tvers av nettsteder (lagret XSS) (CWE-79) | Kjøring av vilkårlig kode | Viktig | Ja | Ja | 4.8 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N | CVE-2026-34658 | |
| Feil inndatavalidering (CWE-20) | Kjøring av vilkårlig kode | Moderat | Ja | Ja | 3.4 | CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:N/I:L/A:N | CVE-2026-34685 |
Merk:
Autentisering kreves for utnyttelse: Sikkerhetsproblemet kan være mulig eller umulig å utnytte uten legitimasjon.
Utnyttelse krever administratorrettigheter: Sikkerhetsproblemet kan være mulig eller umulig å utnyttes av en angriper med administratorrettigheter.
Anerkjennelser
Adobe takker følgende forskere at de rapporterte disse problemene, og for at de samarbeider med Adobe for å hjelpe oss med å beskytte kundene våre:
- thlassche -- CVE-2026-34645, CVE-2026-34646, CVE-2026-34656
- 0x0doteth -- CVE-2026-34647
- bau1u -- CVE-2026-34648, CVE-2026-34649, CVE-2026-34650, CVE-2026-34651
- wash0ut -- CVE-2026-34652
rez0 -- CVE-2026-34653
- akouba -- CVE-2026-34654
srcoder -- CVE-2026-34655
- schemonah -- CVE-2026-34658
- truff -- CVE-2026-34685
- Ray Wolf (raywolfmaster) -- CVE-2026-34686
MERK: Adobe har et offentlig bug-bounty-program med HackerOne. Hvis du er interessert i å jobbe med Adobe som en ekstern sikkerhetsforsker, kan du se https://hackerone.com/adobe.
Du finner mer informasjon under https://helpx.adobe.com/no/security.html, eller send en e-post til PSIRT@adobe.com.
