CVE-2025-24409· NVD / CVE Program· CNA adobe

Adobe Commerce | Incorrect Authorization (CWE-863)

Adobe Commerce versions 2.4.8-beta1, 2.4.7-p3, 2.4.6-p8, 2.4.5-p10, 2.4.4-p11 and earlier are affected by an Incorrect Authorization vulnerability that could result in a Security feature bypass. An attacker could leverage this vulnerability to bypass security measures and gain unauthorized access, leading to both a High impact to confidentiality and Low impact to integrity. Exploitation of this issue does not require user interaction.

ВысокаяCVSS 8.2 · v3.1—Эксплойта нет Есть исправление

Опубликовано: 11 февр. 2025 г.
Обновлено: 17 июн. 2026 г.
EPSS: 0,7 % · 50-й процентиль
CWE: CWE-863

Следить за этой CVE

Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 32 / 40 · 8.2 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,7 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: да
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: 8,2
CNA · adobe: 8,2; совпадают

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Затронутые системы

Вендор	Продукт	CPE
adobe	commerce	cpe:2.3:a:adobe:commerce
adobe	commerce b2b	cpe:2.3:a:adobe:commerce_b2b
adobe	magento	cpe:2.3:a:adobe:magento

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

adobe commerceдо 2.4.4
adobe commerce2.4.4
adobe commerce2.4.5
adobe commerce2.4.6
adobe commerce2.4.7
adobe commerce2.4.8
adobe commerce b2bдо 1.3.3
adobe commerce b2b1.3.3
adobe commerce b2b1.3.4
adobe commerce b2b1.3.5
adobe commerce b2b1.4.2
adobe commerce b2b1.5.0
adobe magentoдо 2.4.4
adobe magento2.4.4
adobe magento2.4.5
adobe magento2.4.6
adobe magento2.4.7
adobe magento2.4.8

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (adobe). Не зависят от анализа CPE в NVD и обычно опережают его.

Adobe Adobe Commerce
- до 2.4.8-beta1 включительнозатронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Packagist	magento/community-edition	с 2.4.5-p1 · до 2.4.5-p11	2.4.5-p11
Packagist	magento/community-edition	с 2.4.6-p1 · до 2.4.6-p9	2.4.6-p9
Packagist	magento/community-edition	с 2.4.7-beta1 · до 2.4.7-p4	2.4.7-p4
Packagist	magento/community-edition	до 2.4.4-p12	2.4.4-p12
Packagist	magento/community-edition	все версии	—
Packagist	magento/project-community-edition	до 2.0.2 включительно	—

Тот же продукт

adobe: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2024-34102XXE can expose crypt key and other secrets granting full admin accessKEV
99Срочно
CVE-2022-24086Adobe Commerce checkout improper input validation leads to remote code executionKEV
99Срочно
CVE-2025-54236Adobe Commerce | Improper Input Validation (CWE-20)KEV
94Срочно
CVE-2026-71362Adobe Commerce | Incorrect Authorization (CWE-863)KEV
92Срочно
CVE-2026-75650Adobe Commerce | Improper Neutralization of Special Elements Used in a Template Engine (CWE-1336)KEV
71На этой неделе
CVE-2025-24434Adobe Commerce | Incorrect Authorization (CWE-863)
41В плане

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Packagist:magento/community-edition	2.4.4-p12	Реестр пакетов (OSV)
Packagist:magento/community-edition	2.4.5-p11	Реестр пакетов (OSV)
Packagist:magento/community-edition	2.4.6-p9	Реестр пакетов (OSV)
Packagist:magento/community-edition	2.4.7-p4	Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2025-24434с разницей 0 дн.Adobe Commerce | Incorrect Authorization (CWE-863)
41В плане
CVE-2023-38218с разницей 487 дн.Incorrect Authorization - Customer account takeover
35Наблюдать
CVE-2026-47988с разницей 518 дн.Adobe Commerce | Incorrect Authorization (CWE-863)
34Наблюдать
CVE-2025-54263с разницей 245 дн.Adobe Commerce | Incorrect Authorization (CWE-863)
32Наблюдать
CVE-2026-47984с разницей 518 дн.Adobe Commerce | Incorrect Authorization (CWE-863)
32Наблюдать
CVE-2025-49556с разницей 182 дн.Adobe Commerce | Incorrect Authorization (CWE-863)
30Наблюдать

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Adobe PublicIntigriti · с вознаграждением · до 15 000 $

Вендор продукта присутствует в публичной программе. Сопоставление по имени; проверьте текст scope в программе.

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: высокое · данные могут быть прочитаны
Целостность: низкое · данные или конфигурация могут быть изменены
Доступность: нет

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Высокое
Влияние на целостность: Низкое
Влияние на доступность: Нет

Класс уязвимости (CWE)

CWE-863 · Incorrect Authorization

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

nvd-primary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.

Анализ Noroxi

Анализа Noroxi для этой записи пока нет

Мы не пишем анализ вручную для всех 385 000+ уязвимостей; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.

Мы используем этот продукт, нужна помощь

Журнал изменений

Исправление✗ → ✓28 сент. 2026 г., 22:47 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

helpx.adobe.com/security/products/magento/apsb25-08.html

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Источники данных и проверка

CNA: adobe

CVE.org (CNA)17 мар. 2025 г., 21:02 UTC
CISA ADP17 мар. 2025 г., 21:02 UTC
NVD17 июн. 2026 г., 04:58 UTC
FIRST EPSS29 сент. 2026 г., 00:00 UTC
OSV / GHSA30 сент. 2026 г., 03:23 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.

Вы видите все CVE. Добавьте свой стек, чтобы оставить только те, что касаются вас.

Добавьте свой стек