CVE-2025-54236

Critique9.1 Publiée le 9 sept. 2025

Les versions Adobe Commerce 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 et antérieures sont affectées par une vulnérabilité de validation incorrecte des entrées. Un attaquant qui réussit peut en abuser pour réaliser une prise de contrôle de session, portant l'impact sur la confidentialité et l'intégrité à un niveau élevé. L'exploitation de ce problème ne nécessite aucune interaction de l'utilisateur.

Activement exploitée

Dans le catalogue CISA des vulnérabilités exploitées depuis le 24 oct. 2025
Les agences fédérales américaines doivent la corriger avant le 14 nov. 2025 (BOD 22-01)
Première attaque observée 41 jours après la divulgation
Confirmée par des capteurs, pas seulement par des signalements

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Source : CISA KEV · 26 oct. 2026 24 oct. 2026 18 oct. 2026 3 oct. 2026 2 oct. 2026 1 oct. 2026

Score CVSS9.1 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Type de faiblesse (CWE)CWE-20

Éditeursadobe