🇰🇷 한글 설명
Adobe Commerce 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 이하 버전에 저장형(Stored) XSS 취약점이 존재합니다. 높은 권한을 가진 공격자가 취약한 폼 필드에 악성 스크립트를 삽입할 수 있으며, 피해자가 해당 페이지를 열면 브라우저에서 악성 JavaScript가 실행될 수 있습니다. 영향 범위(Scope)가 변경되는 취약점입니다.
💡 쉬운 설명
관리자 권한을 가진 사람이 쇼핑몰 입력 칸에 악성 코드를 숨겨 넣을 수 있습니다. 이 페이지를 본 다른 사용자의 브라우저에서 그 코드가 몰래 실행될 수 있습니다.
🇺🇸 원문 (English)
Adobe Commerce versions 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 and earlier are affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a high-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim's browser when they browse to the page containing the vulnerable field. Scope is changed.
📍 영향받는 시스템
Adobe Commerce 2.4.9-beta1, 2.4.8-p4 이하, 2.4.7-p9 이하, 2.4.6-p14 이하, 2.4.5-p16 이하, 2.4.4-p17 이하 버전
⚔️ 공격 벡터
고권한 공격자가 취약한 폼 필드에 악성 JavaScript를 저장하고, 피해자가 해당 페이지를 방문할 때 브라우저에서 실행됨
🛡️ 대응 방법
Adobe 보안 권고에 따라 패치된 버전(2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17, 2.4.4-p18 이상)으로 업그레이드
🔧 검증 코드
출력된 버전이 위 취약 버전 목록에 해당하면 취약하며, 패치된 버전 이상이면 해당 CVE가 조치된 것입니다.
php bin/magento --version 2>/dev/null | grep -oE '2\.4\.[0-9]+(-p[0-9]+)?'