Adobe Commerce: Gespeichertes Cross-Site Scripting (XSS) in Formularfeldern
Zusammenfassung
Adobe Commerce enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) in Formularfeldern, erfasst als CVE-2026-100133 und vom Hersteller als kritisch mit CVSS 9.3 eingestuft. Ein Angreifer kann bösartiges JavaScript in einem verwundbaren Feld speichern, das im Browser eines Opfers ausgeführt wird, sobald dieses die betroffene Seite öffnet, und so bis zu einer Rechteausweitung sowie einer Kontrolle über das Konto oder die Sitzung des Opfers führen. Der Angreifer benötigt keine Anmeldung, jedoch muss ein Opfer mit der Seite interagieren (UI:R). Adobe meldet keine bekannte Ausnutzung. Eine abweichende Kopie des Bulletins nennt eine tiefere Schwere, weshalb der Score im Bulletin von Adobe überprüft werden sollte.
Betroffen
- Adobe Commerce 2.4.4-2026-sep bis 2.4.9-2026-sep und älter (gemäss CNA-Eintrag)
- Adobe Commerce B2B 1.3.3-2026-sep bis 1.5.3-2026-sep und älter
- Magento Open Source 2.4.7-2026-sep bis 2.4.9-2026-sep und älter (gemäss CNA-Eintrag; der Auszug aus dem Bulletin nennt 2.4.6 als betroffen)
Behoben in
- Adobe Commerce: 2.4.4-2026-oct, 2.4.5-2026-oct, 2.4.6-2026-oct, 2.4.7-2026-oct, 2.4.8-2026-oct, 2.4.9-2026-oct, 2.4.10-alpha1
- Adobe Commerce B2B: 1.3.3-2026-oct, 1.3.4-2026-oct, 1.5.2-2026-oct, 1.4.2-2026-oct, 1.5.3-2026-oct, 1.5.4-alpha1
- Magento Open Source: 2.4.7-2026-oct, 2.4.8-2026-oct, 2.4.9-2026-oct, 2.4.10-alpha1
- Magento Open Source 2.4.6: kein Fix-Build aufgeführt; Unbekannt.
Umgehung
Unbekannt.
Ausnutzung
- Adobe ist keine Ausnutzung der in diesem Update behobenen Probleme in freier Wildbahn bekannt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden; nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Alle Adobe-Commerce-, Adobe-Commerce-B2B- und Magento-Open-Source-Instanzen mit ihren genauen Versionen erfassen.
- Das Oktober-2026-Sicherheitsupdate (APSB26-153) und den September-Hotfix für CVE-2026-75650 (APSB26-146) einspielen, vorher testen, da eigener Code betroffen sein kann.
- Bis zur Behebung Administratorkonten sowie CMS-Inhalte, Blöcke und E-Mail-Vorlagen auf eingeschleusten Script-Code prüfen.
- CVSS-Score und betroffene Versionen im Bulletin von Adobe verifizieren, da eine abweichende Kopie existiert.
- Ungewöhnliche Aktivitäten von Administratoren überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-153 www.adobe.com
- NVD record CVE-2026-100133 (Vulners) vulners.com
- Strix CVE-2026-100133 www.strix.ai
- Cyber Experts: Adobe Commerce October 2026 update cyberexperts.com
- Magento APSB26-153 patch overview (Ice Cube Digital) www.icecubedigital.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.