Magento Open Source, Adobe Commerce B2B: separar conteúdo e scripts

Publicado · Atualizado · Serviços conectados · 6 min de leitura · Por Cyber Intelligence Embassy

Em resumo

Magento Open Source, Adobe Commerce B2B: injeção de scripts XSS. O caso de 2026-10-14 examina 19 entradas de versões e 44 CVE, versões documentadas e verificações para plataformas de execução, a partir de CERTFR-2026-AVI-1301.

Ilustração de IA: espaço tecnológico de cibersegurança escuro com iluminação dourada Ilustração · cena fictícia
Neste artigo

Retrospetiva de 2026-10-14, elaborada em 27 de outubro de 2026. A data identifica o dia analisado; as datas de publicação e revisão das fontes constam abaixo.

O que este aviso altera no seu ambiente

O ponto de partida é CERTFR-2026-AVI-1301, publicado em 2026-10-14. O âmbito inclui Magento Open Source, Adobe Commerce B2B, ColdFusion 2025, Adobe Commerce, ColdFusion 2023. As consequências indicadas são negação de serviço, injeção de scripts XSS, execução remota de código, alteração de dados, evasão de controlos de segurança, perda de confidencialidade, elevação de privilégios. Aplicam-se ao âmbito do aviso; não se atribui cada consequência a cada produto ou CVE.

O caso reúne 19 entradas de versões; número de identificadores CVE: 44. Acompanhe a correção por componente: uma atualização global bem-sucedida não prova que Magento Open Source e ColdFusion 2023 receberam a respetiva correção.

Produtos e versões a examinar

Referência
CERTFR-2026-AVI-1301
Primeira publicação da fonte
2026-10-14
Última revisão disponível para este dia
2026-10-14
Componentes citados
Magento Open Source, Adobe Commerce B2B, ColdFusion 2025, Adobe Commerce, ColdFusion 2023
Identificadores CVE
CVE-2026-71385, CVE-2026-92911, CVE-2026-95631, CVE-2026-76001, CVE-2026-106617, CVE-2026-105900, CVE-2026-92464, CVE-2026-90530, CVE-2026-95630, CVE-2026-105898, CVE-2026-75650, CVE-2026-106614, CVE-2026-106090, CVE-2026-106620, CVE-2026-91013, CVE-2026-106089, CVE-2026-106621, CVE-2026-75994, CVE-2026-105903, CVE-2026-75748, CVE-2026-106618, CVE-2026-92922, CVE-2026-92909, CVE-2026-75995 … (+20)
ComponenteCondição publicada
Magento Open Source2.4.9-x : < 2.4.9-2026-oct
Adobe Commerce B2B1.4.2-x : < 1.4.2-2026-oct
Adobe Commerce B2B1.5.3-x : < 1.5.3-2026-oct
ColdFusion 2025< 2025.0.14
Adobe Commerce2.4.7-x : < 2.4.7-2026-oct
Magento Open Source2.4.8-x : < 2.4.8-2026-oct
Adobe Commerce2.4.10-x : < 2.4.10-alpha1
Adobe Commerce B2B1.3.4-x : < 1.3.4-2026-oct
Magento Open Source2.4.7-x : < 2.4.7-2026-oct
ColdFusion 2023< 2023.0.26
Adobe Commerce2.4.6-x : < 2.4.6-2026-oct
Adobe Commerce B2B1.5.2-x : < 1.5.2-2026-oct
Adobe Commerce2.4.8-x : < 2.4.8-2026-oct
Adobe Commerce B2B1.3.3-x : < 1.3.3-2026-oct
Adobe Commerce2.4.4-x : < 2.4.4-2026-oct
Adobe Commerce2.4.5-x : < 2.4.5-2026-oct
Magento Open Source2.4.10-x : < 2.4.10-alpha1
Adobe Commerce B2B1.5.4-x : < 1.5.4-alpha1
Adobe Commerce2.4.9-x : < 2.4.9-2026-oct

Para Magento Open Source, a condição publicada é «2.4.9-x : < 2.4.9-2026-oct». Compare a versão efetivamente carregada dentro do seu próprio ramo. Uma correção noutra edição de Magento Open Source, Adobe Commerce B2B não encerra este caso.

Mecanismo e pré-requisitos

XSS explora a confiança do navegador numa página. Examine conteúdo não fiável, sessões administrativas e controlos de saída; filtrar entradas não é suficiente.

A ficha primária CVE-2026-106622, publicada por adobe, abrange ColdFusion 2025, ColdFusion 2023. A revisão utilizada é de 2026-10-14. Este âmbito é separado das integrações e agrupamentos do aviso CERTFR-2026-AVI-1301.

A métrica publicada para CVE-2026-106622 é CVSS 3.1, 10/10. O vetor descreve pré-requisitos técnicos; não mede a frequência dos ataques nem a probabilidade de comprometimento da instalação.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Vetor de ataque
rede
Privilégios prévios
nenhum
Interação do utilizador
nenhum
Complexidade
baixo
Fraqueza
CWE-918

Escolher a intervenção adequada

  1. Localize instâncias de Magento Open Source, versões em execução e responsáveis. Registe a condição 2.4.9-x : < 2.4.9-2026-oct juntamente com CERTFR-2026-AVI-1301.
  2. Compare o ramo instalado com as notas do fornecedor de Magento Open Source. Prepare o pacote desse ramo e um teste do serviço dependente, conservando o estado inicial.
  3. Após a alteração de Magento Open Source, volte a recolher a versão carregada e teste o percurso indicado. Cada exceção exige responsável, redução da exposição e prazo.

Verificar a correção num percurso real

Cenário de verificação a adaptar a Magento Open Source, Adobe Commerce B2B: Para Magento Open Source, recolha a versão carregada pelo processo ou núcleo ativo e reinicie apenas conforme as instruções. Verifique um percurso dependente e procure cópias incorporadas em imagens ou executáveis distribuídos. É uma proposta defensiva, não uma afirmação de testes realizados em sistemas de terceiros.

Limite de CERTFR-2026-AVI-1301: esta análise não substitui os pré-requisitos do fornecedor nem a investigação dos registos. Só são reproduzidas versões documentadas; não se inventam datas de ataques ou vítimas.

Perguntas específicas do caso

Que condição verificar para Magento Open Source?

CERTFR-2026-AVI-1301 indica Magento Open Source — 2.4.9-x : < 2.4.9-2026-oct. Confirme edição e versão ativa; não estenda o limite a ramos ausentes do aviso.

Porque não aplicar uma única correção a Magento Open Source e ColdFusion 2023?

CERTFR-2026-AVI-1301 distingue estes componentes num âmbito de 19 entradas. Cada ramo exige comparação com a sua documentação e um teste funcional próprio.

Que pré-requisitos especifica a ficha CVE-2026-106622?

Para CVE-2026-106622, o vetor publicado é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Verifique essas condições em ColdFusion 2025, ColdFusion 2023 antes de as aplicar a uma integração citada em CERTFR-2026-AVI-1301.

Fontes e leituras relacionadas

Guia prático : Priorize as vulnerabilidades e verifique a remediação.

Aprofundar a decisão deste caso

Inventário completo do aviso original

A tabela do artigo pode ser um excerto. Estas listas incluem todas as entradas de sistemas afetados e CVE da revisão indicada. Não inventariam os seus ativos nem associam cada CVE a cada produto.

Fonte oficial · CERTFR-2026-AVI-1301
Revisão do aviso : · Verificado em :

Sistemas afetados · 19

Mantém-se o texto francês original para evitar traduções ambíguas das condições de versão.

  1. Magento Open Source versions 2.4.9-x antérieures à 2.4.9-2026-oct
  2. Adobe Commerce B2B versions 1.4.2-x antérieures à 1.4.2-2026-oct
  3. Adobe Commerce B2B versions 1.5.3-x antérieures à 1.5.3-2026-oct
  4. ColdFusion 2025 versions antérieures à 2025.0.14
  5. Adobe Commerce versions 2.4.7-x antérieures à 2.4.7-2026-oct
  6. Magento Open Source versions 2.4.8-x antérieures à 2.4.8-2026-oct
  7. Adobe Commerce versions 2.4.10-x antérieures à 2.4.10-alpha1
  8. Adobe Commerce B2B versions 1.3.4-x antérieures à 1.3.4-2026-oct
  9. Magento Open Source versions 2.4.7-x antérieures à 2.4.7-2026-oct
  10. ColdFusion 2023 versions antérieures à 2023.0.26
  11. Adobe Commerce versions 2.4.6-x antérieures à 2.4.6-2026-oct
  12. Adobe Commerce B2B versions 1.5.2-x antérieures à 1.5.2-2026-oct
  13. Adobe Commerce versions 2.4.8-x antérieures à 2.4.8-2026-oct
  14. Adobe Commerce B2B versions 1.3.3-x antérieures à 1.3.3-2026-oct
  15. Adobe Commerce versions 2.4.4-x antérieures à 2.4.4-2026-oct
  16. Adobe Commerce versions 2.4.5-x antérieures à 2.4.5-2026-oct
  17. Magento Open Source versions 2.4.10-x antérieures à 2.4.10-alpha1
  18. Adobe Commerce B2B versions 1.5.4-x antérieures à 1.5.4-alpha1
  19. Adobe Commerce versions 2.4.9-x antérieures à 2.4.9-2026-oct
Identificadores CVE · 44