🇰🇷 한글 설명
Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 이하 버전에서 저장형 크로스사이트 스크립팅(XSS) 취약점이 발견되었습니다. 높은 권한을 가진 공격자가 취약한 폼 필드에 악성 스크립트를 삽입할 수 있으며, 피해자가 해당 페이지를 방문하면 브라우저에서 악성 JavaScript가 실행될 수 있습니다. 공격 범위(Scope)가 변경되는 특성이 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 쇼핑몰 입력란에 몰래 악성 코드를 넣을 수 있습니다. 이후 일반 고객이 그 페이지를 열면 고객의 브라우저에서 해당 코드가 실행되어 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
Adobe Commerce versions 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 and earlier are affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a high-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim's browser when they browse to the page containing the vulnerable field. Scope is changed.
📍 영향받는 시스템
Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 및 그 이하 버전
⚔️ 공격 벡터
고권한 공격자가 관리자 페이지의 취약한 폼 필드에 악성 스크립트를 저장하고, 피해자가 해당 페이지를 열면 브라우저에서 스크립트가 실행됨
🛡️ 대응 방법
Adobe 보안 패치가 적용된 최신 버전(2.4.9 이상 또는 해당 브랜치의 패치 버전)으로 업그레이드
🔧 검증 코드
출력된 버전이 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 중 해당하거나 그보다 낮으면 취약하며, 이보다 높은 패치 버전이면 조치된 것입니다.
php bin/magento --version 2>/dev/null | grep -oE '2\.4\.[0-9]+(-p[0-9]+)?'