Magento Open Source, Adobe Commerce B2B: отделить содержимое от скриптов

Опубликовано · Обновлено · API и интеграции · 5 мин чтения · Автор Cyber Intelligence Embassy

Кратко

Magento Open Source, Adobe Commerce B2B: межсайтовый скриптинг XSS. Разбор за 2026-10-14: 19 записей версий и 44 CVE, документированные версии и проверки для направления «платформы выполнения» на основе CERTFR-2026-AVI-1301.

ИИ-иллюстрация: тёмное техническое помещение кибербезопасности с золотистым освещением Иллюстрация · вымышленная сцена
В этой статье

Ретроспектива за 2026-10-14, подготовленная 27 октября 2026 года. Дата обозначает рассматриваемый день; даты публикации и редакции источников указаны ниже.

Что меняет бюллетень для вашей среды

Отправная точка — CERTFR-2026-AVI-1301, опубликованный 2026-10-14. В область входят Magento Open Source, Adobe Commerce B2B, ColdFusion 2025, Adobe Commerce, ColdFusion 2023. Указанные последствия: отказ в обслуживании, межсайтовый скриптинг XSS, удалённое выполнение кода, изменение данных, обход защитных механизмов, нарушение конфиденциальности, повышение привилегий. Они относятся к области бюллетеня; каждое последствие не приписывается каждому продукту или CVE.

В разборе 19 записей версий и 44 идентификаторов CVE. Отслеживайте исправления по компонентам: общий успех обновления не доказывает отдельное исправление Magento Open Source и ColdFusion 2023.

Продукты и версии для проверки

Идентификатор
CERTFR-2026-AVI-1301
Первая публикация источника
2026-10-14
Последняя доступная на этот день редакция
2026-10-14
Указанные компоненты
Magento Open Source, Adobe Commerce B2B, ColdFusion 2025, Adobe Commerce, ColdFusion 2023
Идентификаторы CVE
CVE-2026-71385, CVE-2026-92911, CVE-2026-95631, CVE-2026-76001, CVE-2026-106617, CVE-2026-105900, CVE-2026-92464, CVE-2026-90530, CVE-2026-95630, CVE-2026-105898, CVE-2026-75650, CVE-2026-106614, CVE-2026-106090, CVE-2026-106620, CVE-2026-91013, CVE-2026-106089, CVE-2026-106621, CVE-2026-75994, CVE-2026-105903, CVE-2026-75748, CVE-2026-106618, CVE-2026-92922, CVE-2026-92909, CVE-2026-75995 … (+20)
КомпонентОпубликованное условие
Magento Open Source2.4.9-x : < 2.4.9-2026-oct
Adobe Commerce B2B1.4.2-x : < 1.4.2-2026-oct
Adobe Commerce B2B1.5.3-x : < 1.5.3-2026-oct
ColdFusion 2025< 2025.0.14
Adobe Commerce2.4.7-x : < 2.4.7-2026-oct
Magento Open Source2.4.8-x : < 2.4.8-2026-oct
Adobe Commerce2.4.10-x : < 2.4.10-alpha1
Adobe Commerce B2B1.3.4-x : < 1.3.4-2026-oct
Magento Open Source2.4.7-x : < 2.4.7-2026-oct
ColdFusion 2023< 2023.0.26
Adobe Commerce2.4.6-x : < 2.4.6-2026-oct
Adobe Commerce B2B1.5.2-x : < 1.5.2-2026-oct
Adobe Commerce2.4.8-x : < 2.4.8-2026-oct
Adobe Commerce B2B1.3.3-x : < 1.3.3-2026-oct
Adobe Commerce2.4.4-x : < 2.4.4-2026-oct
Adobe Commerce2.4.5-x : < 2.4.5-2026-oct
Magento Open Source2.4.10-x : < 2.4.10-alpha1
Adobe Commerce B2B1.5.4-x : < 1.5.4-alpha1
Adobe Commerce2.4.9-x : < 2.4.9-2026-oct

Для Magento Open Source опубликовано условие «2.4.9-x : < 2.4.9-2026-oct». Сравнивайте реально загруженную версию с этим условием в её собственной ветке. Исправление другой редакции Magento Open Source, Adobe Commerce B2B не закрывает данный случай.

Механизм и предварительные условия

XSS злоупотребляет доверием браузера к странице. Проверьте недоверенное содержимое, административные сессии и контроль вывода; одного фильтра входных данных недостаточно.

Первичная запись CVE-2026-106622, опубликованная adobe, охватывает ColdFusion 2025, ColdFusion 2023. Использованная редакция датирована 2026-10-14. Её область отделена от интеграций и групп продуктов в CERTFR-2026-AVI-1301.

Опубликованная оценка CVE-2026-106622: CVSS 3.1, 10/10. Вектор описывает технические условия, а не частоту атак или вероятность компрометации вашей установки.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Вектор атаки
сеть
Исходные привилегии
не требуются
Участие пользователя
не требуются
Сложность
низкая
Тип недостатка
CWE-918

Выбор подходящего вмешательства

  1. Найдите экземпляры Magento Open Source, работающие версии и ответственных. Зафиксируйте условие 2.4.9-x : < 2.4.9-2026-oct вместе с CERTFR-2026-AVI-1301.
  2. Сопоставьте установленную ветку с инструкциями поставщика Magento Open Source. Подготовьте пакет для этой ветки и тест зависимого сервиса; сохраните исходное состояние.
  3. После изменения Magento Open Source снова определите загруженную версию и проверьте описанный процесс. Исключению нужны ответственный, снижение доступности для атаки и срок.

Проверка исправления в рабочем процессе

Сценарий проверки для адаптации к Magento Open Source, Adobe Commerce B2B: Для Magento Open Source определите версию, загруженную процессом или активным ядром, и перезапускайте только по инструкции обслуживания. Проверьте зависимый процесс и встроенные копии в образах или распространяемых программах. Это предложение защитной проверки, а не заявление о тестировании чужих систем.

Ограничение CERTFR-2026-AVI-1301: анализ не заменяет требования производителя и исследование журналов. Приведены только документированные версии; даты атак и жертвы не выдумываются.

Вопросы по этому случаю

Какое условие проверить для Magento Open Source?

CERTFR-2026-AVI-1301 указывает Magento Open Source — 2.4.9-x : < 2.4.9-2026-oct. Проверьте редакцию и работающую версию; не распространяйте границу на неуказанные ветки.

Почему одного исправления недостаточно для Magento Open Source и ColdFusion 2023?

CERTFR-2026-AVI-1301 различает компоненты в области из 19 записей. Для каждой ветки нужны свои инструкции обновления и функциональная проверка.

Какие условия указаны в записи CVE-2026-106622?

Для CVE-2026-106622 опубликован вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Проверьте условия на ColdFusion 2025, ColdFusion 2023, прежде чем переносить их на интеграцию из CERTFR-2026-AVI-1301.

Источники и связанные материалы

Практическое руководство : Приоритизация уязвимостей и проверка устранения

Подробнее о решении по этому случаю

Полный перечень исходного бюллетеня

Таблица статьи может быть выдержкой. Здесь приведены все записи затронутых систем и CVE указанной редакции. Это не инвентаризация ваших активов и не соответствие каждой CVE каждому продукту.

Официальный источник · CERTFR-2026-AVI-1301
Редакция бюллетеня : · Проверено :

Затронутые системы · 19

Сохранён французский оригинал, чтобы избежать неоднозначного перевода условий версий.

  1. Magento Open Source versions 2.4.9-x antérieures à 2.4.9-2026-oct
  2. Adobe Commerce B2B versions 1.4.2-x antérieures à 1.4.2-2026-oct
  3. Adobe Commerce B2B versions 1.5.3-x antérieures à 1.5.3-2026-oct
  4. ColdFusion 2025 versions antérieures à 2025.0.14
  5. Adobe Commerce versions 2.4.7-x antérieures à 2.4.7-2026-oct
  6. Magento Open Source versions 2.4.8-x antérieures à 2.4.8-2026-oct
  7. Adobe Commerce versions 2.4.10-x antérieures à 2.4.10-alpha1
  8. Adobe Commerce B2B versions 1.3.4-x antérieures à 1.3.4-2026-oct
  9. Magento Open Source versions 2.4.7-x antérieures à 2.4.7-2026-oct
  10. ColdFusion 2023 versions antérieures à 2023.0.26
  11. Adobe Commerce versions 2.4.6-x antérieures à 2.4.6-2026-oct
  12. Adobe Commerce B2B versions 1.5.2-x antérieures à 1.5.2-2026-oct
  13. Adobe Commerce versions 2.4.8-x antérieures à 2.4.8-2026-oct
  14. Adobe Commerce B2B versions 1.3.3-x antérieures à 1.3.3-2026-oct
  15. Adobe Commerce versions 2.4.4-x antérieures à 2.4.4-2026-oct
  16. Adobe Commerce versions 2.4.5-x antérieures à 2.4.5-2026-oct
  17. Magento Open Source versions 2.4.10-x antérieures à 2.4.10-alpha1
  18. Adobe Commerce B2B versions 1.5.4-x antérieures à 1.5.4-alpha1
  19. Adobe Commerce versions 2.4.9-x antérieures à 2.4.9-2026-oct
Идентификаторы CVE · 44