Adobe · Commerce and Magento Open Source
CVE-2024-34102
XXE can expose crypt key and other secrets granting full admin access
这是什么
Adobe Commerce versions 2.4.7, 2.4.6-p5, 2.4.5-p7, 2.4.4-p8 and earlier are affected by an Improper Restriction of XML External Entity Reference ('XXE') vulnerability that could result in arbitrary code execution. An attacker could exploit this vulnerability by sending a crafted XML document that references external entities. Exploitation of this issue does not require user interaction.
CISA: Adobe Commerce and Magento Open Source contain an improper restriction of XML external entity reference (XXE) vulnerability that allows for remote code execution.
该怎么做
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
美国联邦机构的修复期限：2024年8月7日
Adobe 的其他被利用漏洞
| 加入日期 | 漏洞 | 产品 | 严重程度 | 受攻击概率 |
|---|---|---|---|---|
| 2022年2月15日 | Improper Input Validation | Commerce and Magento Open Source | 严重 9.8 | 99.2% |
| 2026年10月27日 | Unrestricted Upload of File with Dangerous Type | Commerce and Magento | 严重 9.3 | 31% |
| 2026年9月24日 | Commerce and Magento Incorrect Authorization Vulnerability | Commerce and Magento | 严重 9.1 | 90% |
| 2026年9月8日 | Improper Neutralization of Special Elements Used in a Template Engine | Commerce and Magento | 严重 10.0 | 3.9% |
| 2026年7月7日 | Path Traversal | ColdFusion | 严重 10.0 | 42% |
| 2026年5月20日 | Heap-Based Buffer Overflow | Acrobat and Reader | 高 8.8 | 87% |
| 2026年4月13日 | Use-After-Free | Acrobat | 高 7.8 | 33% |
| 2026年4月13日 | Prototype Pollution | Acrobat and Reader | 高 8.6 | 7.2% |
来源：Known Exploited Vulnerabilities（CISA，公有领域）、CVE records（cve.org）和 EPSS（FIRST）。受攻击概率是 EPSS 对未来 30 天内有人尝试利用该漏洞的估计。