Adobe heeft een Kritieke kwetsbaarheid gedicht in zijn Adobe Commerce- en Magento Open Source-software. De kwetsbaarheid stelt hackers in staat om een sessie van een gebruiker over te nemen. Daarvoor is geen gebruikersinteractie vereist.
Het beveiligingslek is geregistreerd onder CVE-2025-54236 en heeft een CVSS-score van 9,1 gekregen. Volgens e-commercebeveiligingsbedrijf Sansec is het door de kwetsbaarheid ook mogelijk om op afstand code uit te voeren. Het lek treft Adobe Commerce, Adobe Commerce B2B en Magento Open Source, zo maakt Adobe bekend.
Sansec heeft een exploit ontwikkeld die het lek kan misbruiken door een kwaadaardige sessie te combineren met een deserialisatiebug in de REST-api van Magento. Waarschijnlijk is remote code execution alleen mogelijk als de gebruiker bestandsgebaseerde sessieopslag gebruikt. Sansec raadt echter ook klanten die Redis of databasesessies gebruiken aan om onmiddellijk te patchen, aangezien er meerdere manieren zijn om de kwetsbaarheid te misbruiken.
:strip_exif()/i/1302080737.gif?f=fpa)
/i/2004782276.png?f=fpa)
:strip_exif()/i/2006112596.jpeg?f=fpa)
/i/2006434940.png?f=fpa)
/u/180271/av.png?f=community){kind=small}
:strip_exif()/u/25264/momentum.gif?f=community){kind=small}
:strip_icc():strip_exif()/u/386502/android-icon.jpg?f=community){kind=icon}
:strip_icc():strip_exif()/u/162143/crop5b6d888e9cc79_cropped.jpeg?f=community){kind=small}