Adobe Commerce: Gespeicherte Cross-Site-Scripting-Schwachstelle (XSS)
Zusammenfassung
Adobe Commerce, Adobe Commerce B2B und Magento Open Source enthalten eine gespeicherte Cross-Site-Scripting-Schwachstelle (CWE-79) in Formularfeldern. Ein Angreifer kann schädliche Skripte einschleusen, die im Browser eines Benutzers ausgeführt werden, der die Seite mit dem betroffenen Feld aufruft. Dadurch sind Rechteausweitung sowie die Übernahme des Kontos oder der Sitzung des Opfers möglich. Adobe stuft die Schwachstelle als kritisch ein (CVSS 3.1: 9.3) und setzt eine Benutzerinteraktion voraus, ein Drittanbieter veröffentlichte jedoch einen abweichenden Wert von 4.3. Adobe meldet keine bekannte Ausnutzung.
Betroffen
- Adobe Commerce: 2.4.4 bis 2.4.9-2026-sep und frühere Versionen
- Adobe Commerce B2B: 1.3.3 bis 1.5.3-2026-sep und frühere Versionen
- Magento Open Source: 2.4.7 bis 2.4.9-2026-sep und frühere Versionen (das Bulletin nennt zusätzlich 2.4.6)
Behoben in
- Adobe Commerce: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct, 2.4.6-2026-oct, 2.4.5-2026-oct, 2.4.4-2026-oct
- Adobe Commerce B2B: 1.5.4-alpha1, 1.5.3-2026-oct, 1.5.2-2026-oct, 1.4.2-2026-oct, 1.3.4-2026-oct, 1.3.3-2026-oct
- Magento Open Source: 2.4.10-alpha1, 2.4.9-2026-oct, 2.4.8-2026-oct, 2.4.7-2026-oct
- Hinweis: Die erste Patch-Datei für 2.4.8-p5 enthielt die Änderung an EmailAddress.php nicht. Eine korrigierte Datei wurde laut Berichten am 14. Oktober 2026 bereitgestellt (nicht verifiziert).
Umgehung
Unbekannt.
- Kein Workaround des Herstellers dokumentiert. Patch einspielen.
Ausnutzung
- Adobe ist keine Ausnutzung dieser Schwachstellen in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept gefunden. VulDB gibt an, dass kein Exploit verfügbar ist.
- EPSS (30 Tage) rund 0.9%. Pulse zeigt keinen Eintrag im KEV-Katalog; der KEV-Katalog wurde nicht direkt geprüft.
Unsere Empfehlung
- Das Sicherheitsupdate vom Oktober 2026 (APSB26-153) für die eingesetzte Version installieren.
- Falls der 2.4.8-p5-Patch vom 13. Oktober eingespielt wurde, prüfen, ob die korrigierte Änderung an EmailAddress.php vorhanden ist.
- Die übrigen Korrekturen aus APSB26-153 im selben Wartungsfenster prüfen, insbesondere CVE-2026-103849 (CVSS 10.0).
- Admin- und Kundenprotokolle auf ungewöhnliche Skriptinhalte in Formularfeldern prüfen.
- Bis zur Installation den Admin-Zugriff auf vertrauenswürdige Netze beschränken und eine strikte Content Security Policy durchsetzen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-153 www.adobe.com
- Sansec: Blockstrap Magento RCE research sansec.io
- Meetanshi: APSB26-153 security patches meetanshi.com
- VulDB: CVE-2026-91013 vuldb.com
- Strix: CVE-2026-91013 www.strix.ai
- Pulse: CVE-2026-91013 (EPSS) pulse.kalir.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.