CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2022-24086

Adobe Commerce — RCE przez błędną walidację danych podczas checkout

CVSS 9.8v3.1pub. 2022-02-16upd. 2025-10-23

Podatność krytyczna w Adobe Commerce umożliwia zdalne wykonanie dowolnego kodu (RCE) bez konieczności uwierzytelnienia ani interakcji użytkownika. Jest aktywnie wykorzystywana przez atakujących i figuruje w katalogu CISA KEV.

▸ Pokaż oryginał (EN)

Adobe Commerce versions 2.4.3-p1 (and earlier) and 2.3.7-p2 (and earlier) are affected by an improper input validation vulnerability during the checkout process. Exploitation of this issue does not require user interaction and could result in arbitrary code execution.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej walidacji danych wejściowych (CWE-20) podczas procesu realizacji zamówienia (checkout). Atakujący może przesłać spreparowane dane do podatnego endpointu sklepu, obchodząc kontrole poprawności danych. Skutkuje to wykonaniem arbitralnego kodu po stronie serwera bez wymagania jakichkolwiek uprawnień ani działania ze strony ofiary.

Skutki

Atakujący może przejąć pełną kontrolę nad serwerem aplikacji, uzyskując możliwość odczytu i modyfikacji danych, instalacji złośliwego oprogramowania lub dalszego lateral movement w infrastrukturze ofiary.

Mitygacja

Należy niezwłocznie zastosować patche opisane w biuletynie bezpieczeństwa Adobe APSB22-12 dostępnym pod adresem https://helpx.adobe.com/security/products/magento/apsb22-12.html. Ze względu na aktywne exploitowanie podatności aktualizacja powinna zostać wdrożona natychmiast.

Kogo dotyczy

Adobe Commerce w wersjach 2.4.3-p1 i wcześniejszych oraz 2.3.7-p2 i wcześniejszych

Uwagi

Podatność jest uwzględniona w katalogu CISA Known Exploited Vulnerabilities (KEV), co potwierdza jej aktywne wykorzystywanie w środowiskach produkcyjnych. Dotyczy procesu checkout, który jest publicznie dostępny bez uwierzytelnienia, co znacząco zwiększa powierzchnię ataku.