Adobe Commerce: Gespeichertes Cross-Site Scripting in Formularfeldern
Zusammenfassung
Eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) in Adobe Commerce erlaubt einem Angreifer mit niedrigen Berechtigungen, bösartige Skripte in verwundbare Formularfelder einzuschleusen. Das Skript wird im Browser jedes Benutzers ausgeführt, der die Seite mit dem Feld öffnet, was zur Übernahme des Kontos oder der Sitzung des Opfers führen kann, auch von Administratorsitzungen. Der Scope ist verändert und eine Benutzerinteraktion ist erforderlich. Adobe hat die Lücke im Update APSB26-153 (Oktober 2026) behoben.
Betroffen
- Adobe Commerce 2.4.4 bis 2.4.9 (Builds 2026-sep und älter)
- Adobe Commerce B2B 1.3.3 bis 1.5.3 (Builds 2026-sep und älter)
- Magento Open Source 2.4.6 bis 2.4.9 (Bulletin); CVE-Eintrag nennt 2.4.7 bis 2.4.9, bei Adobe prüfen
Behoben in
- Adobe Commerce: 2.4.4-2026-oct bis 2.4.9-2026-oct (2.4.10-alpha1 ebenfalls aufgeführt)
- Adobe Commerce B2B: 1.3.3-2026-oct bis 1.5.3-2026-oct (1.5.4-alpha1 ebenfalls aufgeführt)
- Magento Open Source: 2.4.7-2026-oct bis 2.4.9-2026-oct
- Voraussetzung: Der September-Hotfix für CVE-2026-75650 muss installiert bleiben
Umgehung
Unbekannt. Für diese CVE ist keine herstellerseitige Zwischenlösung bekannt; das Update ist einzuspielen.
Ausnutzung
- Adobe ist keine Ausnutzung der Lücken aus APSB26-153 in freier Wildbahn bekannt.
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog gelistet; kein öffentlicher Proof of Concept bekannt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Alle Installationen von Adobe Commerce, B2B und Magento Open Source sowie deren genaue Builds identifizieren.
- Prüfen, ob der September-Hotfix für CVE-2026-75650 installiert ist.
- Den passenden Oktober-2026-Patch zuerst in einer Staging-Kopie einspielen, individuelle Module testen und danach produktiv ausrollen.
- Administrator- und Kundenkonten auf unerwartete Aktivitäten prüfen und Formularfelder auf eingeschleuste Skripte kontrollieren.
- Das Adobe-Bulletin und den CISA-KEV-Katalog auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-153 www.adobe.com
- Strix CVE record mirror CVE-2026-92911 www.strix.ai
- Vulners MEND CVE-2026-92911 vulners.com
- Kalir CVE-2026-92911 pulse.kalir.io
- Prlog APSB26-153 summary www.prlog.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.