🇰🇷 한글 설명
Adobe Commerce의 여러 버전(2.4.4-p17 이하 및 2.4.5~2.4.9-beta1 일부 패치 버전)에 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 낮은 권한의 공격자가 취약한 폼 필드에 악성 스크립트를 삽입할 수 있으며, 피해자가 해당 페이지를 방문하면 악성 자바스크립트가 브라우저에서 실행되어 계정이나 세션에 대한 권한 상승 또는 제어가 가능해질 수 있습니다. 공격 범위(Scope)가 변경되는 특성이 있습니다.
💡 쉬운 설명
공격자가 쇼핑몰의 입력 칸에 몰래 악성 코드를 심어 둘 수 있습니다. 다른 사람이 그 페이지를 열면 코드가 실행되어 그 사람의 계정이 탈취될 수 있습니다.
🇺🇸 원문 (English)
Adobe Commerce versions 2.4.9-beta1, 2.4.8-p4, 2.4.7-p9, 2.4.6-p14, 2.4.5-p16, 2.4.4-p17 and earlier are affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a low-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim's browser when they browse to the page containing the vulnerable field, potentially gaining elevated access or control over the victim's account or session. Scope is changed.
📍 영향받는 시스템
Adobe Commerce 2.4.4-p17 이하 및 2.4.5-p16, 2.4.6-p14, 2.4.7-p9, 2.4.8-p4, 2.4.9-beta1 등 해당 패치 이전 버전
⚔️ 공격 벡터
낮은 권한 계정으로 취약한 폼 필드에 악성 스크립트를 저장한 뒤, 피해자(관리자 또는 고객)가 해당 페이지를 열면 브라우저에서 스크립트가 실행됨
🛡️ 대응 방법
Adobe 공식 보안 패치(2.4.4-p18, 2.4.5-p17, 2.4.6-p15, 2.4.7-p10, 2.4.8-p5, 2.4.9 이후 버전 등)를 즉시 적용
🔧 검증 코드
출력된 버전(예: 2.4.7-p9)을 위 영향받는 버전 목록과 비교하여 동일하거나 이전 버전이면 취약하며, 패치된 상위 버전이면 안전합니다.
php bin/magento --version 2>/dev/null | grep -oE '2\.4\.[0-9]+(-p[0-9]+)?'