Magento Stored Cross-Site Scripting (XSS) Vulnerability

CVE-2025-24412 → GitHub で見る ↗ CVE.org で見る ↗ NVD で見る ↗

説明

Adobe Commerce versions 2.4.7-beta1, 2.4.7-p3, 2.4.6-p8, 2.4.5-p10, 2.4.4-p11 and earlier are affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a low-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim’s browser when they browse to the page containing the vulnerable field. A successful attacker can abuse this to achieve session takeover, increasing the confidentiality and integrity impact as high.

基本情報

タイプ
reviewed
深刻度
high
GitHub 上のアドバイザリ
アドバイザリを開く ↗
リポジトリのアドバイザリ
—
ソースコード
ソースを見る ↗
公開（アドバイザリ）
2025-02-11 18:31:41 UTC
更新
2025-02-28 02:40:11 UTC
GitHub レビュー済み
2025-02-28 02:40:09 UTC
NVD で公開
2025-02-11

EPSS Score

Score Percentile
1.32% 79.82%

CVSS Scores

Base score Version Severity Vector
8.7 3.1 —
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N クリックして展開
攻撃ベクター (AV:N)
インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。
攻撃の複雑さ (AC:L)
攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:L)
一般ユーザー権限があれば足り、管理者（root 相当）は不要。
ユーザーの関与 (UI:R)
インストールの許可、設定変更、悪意あるファイルの実行など、人の一度の判断がトリガーになる。
スコープ (S:C)
脆弱箇所を足がかりに、別コンポーネントや別権限域まで影響が広がりうる。
機密性への影響 (C:H)
広範な機微データの読み取りや持ち出しが現実的。
完全性への影響 (I:H)
権限の奪取や広範なログ改竄など、システムの信頼根拠を揺るがす改ざんが現実的。
可用性への影響 (A:N)
業務継続に支障が出るレベルの停止や劣化は想定されない。

Identifiers

Type Value
GHSA GHSA-m4rg-mpp2-97px ↗
CVE CVE-2025-24412 ↗

CWEs

CWE id Name
CWE-79 Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')

Affected packages (10)

Vulnerable version ranges and first patched releases as published by GitHub.

Ecosystem Package Vulnerable range First patched Vulnerable functions
composer magento/community-edition >= 2.4.7-beta1, < 2.4.7-p4 2.4.7-p4 —
composer magento/community-edition >= 2.4.6-p1, < 2.4.6-p9 2.4.6-p9 —
composer magento/community-edition >= 2.4.5-p1, < 2.4.5-p11 2.4.5-p11 —
composer magento/community-edition < 2.4.4-p12 2.4.4-p12 —
composer magento/community-edition = 2.4.7 — —
composer magento/community-edition = 2.4.6 — —
composer magento/community-edition = 2.4.5 — —
composer magento/community-edition = 2.4.4 — —
composer magento/community-edition = 2.4.8-beta1 — —
composer magento/project-community-edition <= 2.0.2 — —

References

cvelogic Threat Intelligence