Bulletin-ID
Sist oppdatert
8. jul. 2025
Sikkerhetsoppdatering tilgjengelig for Adobe Commerce | APSB25-50
|
|
Publiseringsdato |
Prioritet |
|---|---|---|
|
APSB25-50 |
10. juni 2025 |
1 |
Sammendrag
Adobe har lansert sikkerhetsoppdateringer for Adobe Commerce og Magento Open Source. Denne oppdateringen løser kritiske, viktige og moderate sårbarheter. Vellykket utnyttelse kan føre til kjøring av vilkårlig kode, omgåelse av sikkerhetsfunksjoner og eskalering av rettigheter.
Adobe kjenner ikke til aktiv utnyttelse av noen av problemene som løses av disse oppdateringene.
Berørte versjoner
| Produkt | Versjon | Plattform |
|---|---|---|
| Adobe Commerce |
2.4.8 2.4.7-p5 og tidligere 2.4.6-p10 og tidligere 2.4.5-p12 og tidligere 2.4.4-p13 og tidligere |
Alle |
| Adobe Commerce B2B |
1.5.2 og tidligere 1.4.2-p5 og tidligere 1.3.5-p10 og tidligere 1.3.4-p12 og tidligere 1.3.3-p13 og tidligere |
Alle |
| Magento Open Source | 2.4.8 2.4.7-p5 og tidligere 2.4.6-p10 og tidligere 2.4.5-p12 og tidligere |
Alle |
Løsning
Adobe kategoriserer disse oppdateringene med følgende prioritetsklassifiseringer og anbefaler at brukerne oppdaterer installasjonen til den nyeste versjonen.
| Produkt | Oppdatert versjon | Plattform | Prioritetsklassifisering | Installasjonsinstruksjoner |
|---|---|---|---|---|
| Adobe Commerce |
2.4.9-alpha1 2.4.8-p1 for 2.4.8 2.4.7-p6 for 2.4.7-p5 og tidligere 2.4.6-p11 for 2.4.6-p10 og tidligere 2.4.5-p13 for 2.4.5-p12 og tidligere 2.4.4-p14 for 2.4.4-p13 og tidligere |
Alle |
1 |
|
| Adobe Commerce B2B |
1.5.3-alpha1 1.5.2-p1 for 1.5.2 1.4.2-p6 for 1.4.2-p5 og tidligere 1.3.4-p13 for 1.3.4-p12 og tidligere 1.3.3-p14 for 1.3.3-p13 og tidligere |
Alle | 2 | |
| Magento Open Source |
2.4.9-alpha1 2.4.8-p1 for 2.4.8 2.4.7-p6 for 2.4.7-p5 og tidligere 2.4.6-p11 for 2.4.6-p10 og tidligere 2.4.5-p13 for 2.4.5-p12 og tidligere |
Alle |
2 | |
| Adobe Commerce og Magento Open Source | Isolert oppdatering for CVE-2025-47110 | Alle | 1 | Utgivelsesmerknader for isolert oppdatering på CVE-2025-47110 |
Adobe kategoriserer disse oppdateringene med følgende prioritetsklassifiseringer og anbefaler at brukerne oppdaterer installasjonen til den nyeste versjonen.
Informasjon om sikkerhetsproblemet
| Sikkerhetsproblemkategori | Sikkerhetsprobleminnvirkning | Alvorlighetsgrad | Er godkjenning nødvendig for å bruke produktet? | Krever bruk administratorrettigheter? |
CVSS-grunnscore |
CVSS-vektor |
CVE-nummer/-numre | Notater |
|---|---|---|---|---|---|---|---|---|
| Skriping på tvers av nettsteder (Reflektert XSS) (CWE-79) | Kjøring av vilkårlig kode | Kritisk | Ja | Ja | 9.1 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H | CVE-2025-47110 | |
| Upassende autorisasjon (CWE-285) | Omgåelse av sikkerhetsfunksjon | Kritisk | Ja | No | 8.2 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N | CVE-2025-43585 | |
| Feil tilgangskontroll (CWE-284) | Omgåelse av sikkerhetsfunksjon | Viktig | Ja | Ja | 5.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N | CVE-2025-27206 | |
| Feil tilgangskontroll (CWE-284) | Rettighetsutvidelse | Viktig | Ja | Ja | 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N | CVE-2025-27207 | Kun B2B |
| Feil tilgangskontroll (CWE-284) | Rettighetsutvidelse | Viktig | Ja | Ja | 6.5 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N | CVE-2025-43586 | Kun B2B |
| Feil autorisasjon (CWE-863) | Omgåelse av sikkerhetsfunksjon | Viktig | No | No | 4.3 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N | CVE-2025-49550 | |
| Feil autorisasjon (CWE-863) | Omgåelse av sikkerhetsfunksjon | Moderat | Ja | Ja | 2.7 | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N | CVE-2025-49549 |
Merk:
Autentisering kreves for utnyttelse: Sikkerhetsproblemet kan være mulig eller umulig å utnytte uten legitimasjon.
Utnyttelse krever administratorrettigheter: Sikkerhetsproblemet kan være mulig eller umulig å utnyttes av en angriper med administratorrettigheter.
Anerkjennelser
Adobe takker følgende forskere at de rapporterte disse problemene, og for at de samarbeider med Adobe for å hjelpe oss med å beskytte kundene våre:
- Damien Retzinger (damienwebdev) – CVE-2025-49549, CVE-2025-49550
- sheikhrishad0 - CVE-2025-27206
- wohlie - CVE-2025-27207
- T.H. Lassche (thlassche) - CVE-2025-43585
- Thomas Klein (tomakl1) - CVE-2025-43586
- blaklis - CVE-2025-47110
MERK: Adobe har et privat, valgfritt bug-bounty-program med HackerOne. Hvis du er interessert i å jobbe med Adobe som en ekstern sikkerhetsforsker, vennligst fyll ut dette skjemaet for å gå videre.
Revisjoner
25. juni 2025: La til CVE-2025-49549 og CVE-2025-49550
Du finner mer informasjon under https://helpx.adobe.com/no/security.html, eller send en e-post til PSIRT@adobe.com.
