Magento Open Source, Adobe Commerce B2B: separare contenuti e script

Pubblicato · Aggiornato · Servizi connessi · 6 min di lettura · Di Cyber Intelligence Embassy

In sintesi

Magento Open Source, Adobe Commerce B2B: iniezione di script XSS. Il caso del 2026-10-14 esamina 19 voci di versione e 44 CVE, versioni documentate e verifiche per piattaforme di esecuzione, partendo da CERTFR-2026-AVI-1301.

Illustrazione IA: ambiente tecnologico di sicurezza informatica scuro con luci dorate Illustrazione · scena fittizia
In questo articolo

Retrospettiva del 2026-10-14, realizzata il 27 ottobre 2026. La data indica il giorno analizzato; pubblicazione e revisione delle fonti sono riportate sotto.

Cosa cambia nell’ambiente operativo

Il punto di partenza è CERTFR-2026-AVI-1301, pubblicato il 2026-10-14. L’ambito comprende Magento Open Source, Adobe Commerce B2B, ColdFusion 2025, Adobe Commerce, ColdFusion 2023. Le conseguenze indicate sono negazione del servizio, iniezione di script XSS, esecuzione remota di codice, alterazione dei dati, aggiramento dei controlli di sicurezza, perdita di riservatezza, aumento dei privilegi. Riguardano l’ambito del bollettino: non si attribuisce ogni conseguenza a ogni prodotto o CVE.

Il caso raccoglie 19 voci di versione; numero di identificativi CVE: 44. Seguite la correzione per componente: un aggiornamento complessivo riuscito non prova che Magento Open Source e ColdFusion 2023 abbiano ricevuto ciascuno la propria correzione.

Prodotti e versioni da esaminare

Riferimento
CERTFR-2026-AVI-1301
Prima pubblicazione della fonte
2026-10-14
Ultima revisione disponibile per questa giornata
2026-10-14
Componenti citati
Magento Open Source, Adobe Commerce B2B, ColdFusion 2025, Adobe Commerce, ColdFusion 2023
Identificativi CVE
CVE-2026-71385, CVE-2026-92911, CVE-2026-95631, CVE-2026-76001, CVE-2026-106617, CVE-2026-105900, CVE-2026-92464, CVE-2026-90530, CVE-2026-95630, CVE-2026-105898, CVE-2026-75650, CVE-2026-106614, CVE-2026-106090, CVE-2026-106620, CVE-2026-91013, CVE-2026-106089, CVE-2026-106621, CVE-2026-75994, CVE-2026-105903, CVE-2026-75748, CVE-2026-106618, CVE-2026-92922, CVE-2026-92909, CVE-2026-75995 … (+20)
ComponenteCondizione pubblicata
Magento Open Source2.4.9-x : < 2.4.9-2026-oct
Adobe Commerce B2B1.4.2-x : < 1.4.2-2026-oct
Adobe Commerce B2B1.5.3-x : < 1.5.3-2026-oct
ColdFusion 2025< 2025.0.14
Adobe Commerce2.4.7-x : < 2.4.7-2026-oct
Magento Open Source2.4.8-x : < 2.4.8-2026-oct
Adobe Commerce2.4.10-x : < 2.4.10-alpha1
Adobe Commerce B2B1.3.4-x : < 1.3.4-2026-oct
Magento Open Source2.4.7-x : < 2.4.7-2026-oct
ColdFusion 2023< 2023.0.26
Adobe Commerce2.4.6-x : < 2.4.6-2026-oct
Adobe Commerce B2B1.5.2-x : < 1.5.2-2026-oct
Adobe Commerce2.4.8-x : < 2.4.8-2026-oct
Adobe Commerce B2B1.3.3-x : < 1.3.3-2026-oct
Adobe Commerce2.4.4-x : < 2.4.4-2026-oct
Adobe Commerce2.4.5-x : < 2.4.5-2026-oct
Magento Open Source2.4.10-x : < 2.4.10-alpha1
Adobe Commerce B2B1.5.4-x : < 1.5.4-alpha1
Adobe Commerce2.4.9-x : < 2.4.9-2026-oct

Per Magento Open Source, la condizione pubblicata è «2.4.9-x : < 2.4.9-2026-oct». Confrontate la versione effettivamente caricata nel proprio ramo. Una correzione su un’altra edizione di Magento Open Source, Adobe Commerce B2B non chiude questo caso.

Meccanismo e prerequisiti

XSS sfrutta la fiducia del browser in una pagina. Verificate il rendering di contenuti non affidabili, sessioni amministrative e controlli in uscita; il solo filtro in ingresso non basta.

La scheda primaria CVE-2026-106622, pubblicata da adobe, riguarda ColdFusion 2025, ColdFusion 2023. La revisione utilizzata è del 2026-10-14. Questo ambito è distinto dalle integrazioni e dai raggruppamenti del bollettino CERTFR-2026-AVI-1301.

La valutazione pubblicata per CVE-2026-106622 è CVSS 3.1, 10/10. Il vettore descrive prerequisiti tecnici, non frequenza degli attacchi o probabilità di compromissione dell’installazione.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Vettore di attacco
rete
Privilegi iniziali
nessuno
Interazione utente
nessuno
Complessità
basso
Debolezza
CWE-918

Scegliere l’intervento adeguato

  1. Individuate istanze di Magento Open Source, versioni in esecuzione e responsabili. Registrate la condizione 2.4.9-x : < 2.4.9-2026-oct insieme a CERTFR-2026-AVI-1301.
  2. Confrontate il ramo installato con le note del produttore di Magento Open Source. Preparate il pacchetto corretto e un test del servizio dipendente, conservando lo stato iniziale.
  3. Dopo l’intervento su Magento Open Source, rilevate nuovamente la versione caricata e verificate il percorso indicato. Ogni eccezione richiede responsabile, riduzione dell’esposizione e scadenza.

Verificare la correzione nel lavoro reale

Scenario di verifica da adattare a Magento Open Source, Adobe Commerce B2B: Per Magento Open Source, rilevate la versione caricata dal processo o kernel attivo e riavviate secondo le istruzioni di manutenzione. Verificate un percorso dipendente e cercate copie incorporate in immagini o eseguibili distribuiti. È una proposta difensiva, non un’affermazione di test effettuati su sistemi di terzi.

Limite di CERTFR-2026-AVI-1301: questa analisi non sostituisce i prerequisiti del produttore né l’indagine sui log. Sono riprese solo versioni documentate; non si inventano date di attacchi o vittime.

Domande specifiche del caso

Quale condizione verificare per Magento Open Source?

CERTFR-2026-AVI-1301 indica Magento Open Source — 2.4.9-x : < 2.4.9-2026-oct. Verificate edizione e versione attiva; non estendete il limite a rami assenti dal bollettino.

Perché non usare una sola correzione per Magento Open Source e ColdFusion 2023?

CERTFR-2026-AVI-1301 distingue questi componenti in un ambito di 19 voci. Ogni ramo richiede il confronto con le proprie istruzioni e un controllo funzionale.

Quali prerequisiti specifica la scheda CVE-2026-106622?

Per CVE-2026-106622, il vettore pubblicato è CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Verificate queste condizioni su ColdFusion 2025, ColdFusion 2023 prima di applicarle a un’integrazione citata da CERTFR-2026-AVI-1301.

Fonti e letture collegate

Guida pratica : Dare priorità alle vulnerabilità e verificare la correzione

Approfondire la decisione di questo caso

Inventario completo dell’avviso originale

La tabella dell’articolo può essere un estratto. Gli elenchi riportano tutte le voci dei sistemi interessati e le CVE della revisione indicata. Non inventariano i vostri asset né associano ogni CVE a ogni prodotto.

Fonte ufficiale · CERTFR-2026-AVI-1301
Revisione dell’avviso : · Verificato il :

Sistemi interessati · 19

Si conserva il testo originale francese per evitare ambiguità nelle condizioni di versione.

  1. Magento Open Source versions 2.4.9-x antérieures à 2.4.9-2026-oct
  2. Adobe Commerce B2B versions 1.4.2-x antérieures à 1.4.2-2026-oct
  3. Adobe Commerce B2B versions 1.5.3-x antérieures à 1.5.3-2026-oct
  4. ColdFusion 2025 versions antérieures à 2025.0.14
  5. Adobe Commerce versions 2.4.7-x antérieures à 2.4.7-2026-oct
  6. Magento Open Source versions 2.4.8-x antérieures à 2.4.8-2026-oct
  7. Adobe Commerce versions 2.4.10-x antérieures à 2.4.10-alpha1
  8. Adobe Commerce B2B versions 1.3.4-x antérieures à 1.3.4-2026-oct
  9. Magento Open Source versions 2.4.7-x antérieures à 2.4.7-2026-oct
  10. ColdFusion 2023 versions antérieures à 2023.0.26
  11. Adobe Commerce versions 2.4.6-x antérieures à 2.4.6-2026-oct
  12. Adobe Commerce B2B versions 1.5.2-x antérieures à 1.5.2-2026-oct
  13. Adobe Commerce versions 2.4.8-x antérieures à 2.4.8-2026-oct
  14. Adobe Commerce B2B versions 1.3.3-x antérieures à 1.3.3-2026-oct
  15. Adobe Commerce versions 2.4.4-x antérieures à 2.4.4-2026-oct
  16. Adobe Commerce versions 2.4.5-x antérieures à 2.4.5-2026-oct
  17. Magento Open Source versions 2.4.10-x antérieures à 2.4.10-alpha1
  18. Adobe Commerce B2B versions 1.5.4-x antérieures à 1.5.4-alpha1
  19. Adobe Commerce versions 2.4.9-x antérieures à 2.4.9-2026-oct
Identificatori CVE · 44