Adobe Commerce 發佈安全性更新通知 | APSB23-50

Adobe 發布了 AdobeCommerce 和 Magento Open Source 的安全更新，此更新解決了關鍵和高風險的漏洞。該漏洞可能會導致任意程式碼執行、權限升級、任意檔案系統讀取、安全功能繞過和應用程式拒絕服務。此漏洞可以將客戶的權限升級，甚至盜取客戶的資料，Adobe 強烈建議用戶將其Magento系統更新至最新版本。

為了確保您網上商店的安全，請盡快聯絡我們安排Magento升級。

安全性公告 ID	發布日期	優先順序
APSB23-50	2023年10月10日	3

漏洞詳細資料

漏洞類別	漏洞影響	嚴重性	利用漏洞是否需要驗證？	利用漏洞是否需要管理員權限？	CVSS 基本評分	CVSS 向量	CVE 編號
輸入驗證不當 (CWE-20)	權限提升	重大	否	否	8.8	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H	CVE-2023-38218
跨網站指令碼 (已儲存 XSS) (CWE-79)	權限提升	重大	是	是	8.4	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2023-38219
不當授權 (CWE-285)	無故略過安全功能	重大	是	否	7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2023-38220
作業系統命令使用不適當的中和特殊元素 (「SQL Injection」) (CWE-89)	任意執行程式碼	重大	是	是	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2023-38221
作業系統命令使用不適當的中和特殊元素 (「SQL Injection」) (CWE-89)	任意執行程式碼	重大	是	是	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2023-38249
作業系統命令使用不適當的中和特殊元素 (「SQL Injection」) (CWE-89)	任意執行程式碼	重大	是	是	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2023-38250
資訊外洩 (CWE-200)	任意執行程式碼	重大	是	是	7.6	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:L	CVE-2023-26367
不受控制的資源消耗 (CWE-400)	應用程式阻絕服務	重要	否	否	5.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L	CVE-2023-38251
伺服器端偽造要求 (SSRF) (CWE-918)	檔案系統任意讀取	重要	是	是	6.8	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N	CVE-2023-26366

受影響的版本

產品	版本	平台
Adobe Commerce	2.4.7-beta1 (含) 以前版本 2.4.6-p2 (含) 以前版本 2.4.5-p4 (含) 以前版本 2.4.4-p5 (含) 以前版本 2.4.3-ext-4 (含) 以前版本* 2.4.2-ext-4 (含) 以前版本* 2.4.1-ext-4 (含) 以前版本* 2.4.0-ext-4 (含) 以前版本* 2.3.7-p4-ext-4 (含) 以前版本*	全部
Magento Open Source	2.4.7-beta1 (含) 以前版本 2.4.6-p2 (含) 以前版本 2.4.5-p4 (含) 以前版本 2.4.4-p5 (含) 以前版本	全部

備註：為清楚標明資訊，列出的受影響版本現在將標示於每項發佈內容列，而非僅顯示最新版本。

解決方法

Adobe 依照下列優先順序分級將這些更新分類，並建議使用者將其安裝更新至最新版本。

產品	已更新的版本	平台	優先順序分級	安裝說明
Adobe Commerce	2.4.7-beta2 適用於 2.4.7-beta1 (含) 以前版本 2.4.6-p3 適用於 2.4.6-p2 (含) 以前版本 2.4.5-p5 適用於 2.4.5-p4 (含) 以前版本 2.4.4-p6 適用於 2.4.4-p5 (含) 以前版本 2.4.3-ext-5 適用於 2.4.3-ext-4 (含) 以前版本* 2.4.2-ext-5 適用於 2.4.2-ext-4 (含) 以前版本* 2.4.1-ext-5 適用於 2.4.1-ext-4 (含) 以前版本* 2.4.0-ext-5 適用於 2.4.0-ext-4 (含) 以前版本* 2.3.7-p4-ext-5 適用於 2.3.7-p4-ext-4 (含) 以前版本*	全部	3	2.4.x 發行說明
Magento Open Source	2.4.7-beta2 適用於 2.4.7-beta1 (含) 以前版本 2.4.6-p3 適用於 2.4.6-p2 (含) 以前版本 2.4.5-p5 適用於 2.4.5-p4 (含) 以前版本 2.4.4-p6 適用於 2.4.4-p5 (含) 以前版本	全部	3	2.4.x 發行說明

相依性更新

CVE	相依性	弱點影響	受影響的版本
CVE-2021-41182	jQuery	任意執行程式碼	Adobe Commerce 2.4.6-p2、2.4.5-p4、2.4.4-p5、2.4.7-beta1 和以前版本

註解： 利用漏洞前需進行身分驗證：無需認證即可 (或不可) 利用該漏洞。

利用漏洞需要管理員權限：只有具備管理權限的攻擊者可以 (或不可) 利用該漏洞。