Krytyczna Podatność "SessionReaper" w Adobe Commerce i Magento

Adobe Ostrzega przed Luką "SessionReaper"

Adobe wydało ostrzeżenie dotyczące krytycznej podatności w platformach Adobe Commerce i Magento Open Source. Luka, oznaczona jako CVE-2025-54236 i nazwana „SessionReaper”, otrzymała ocenę CVSS 9.1, co klasyfikuje ją jako zagrożenie o krytycznym stopniu powagi.

Na Czym Polega Zagrożenie?

Podatność wynika z błędu walidacji danych wejściowych i umożliwia atakującemu przejęcie kont klientów poprzez Commerce REST API. Atak nie wymaga skomplikowanych działań i może prowadzić do poważnych konsekwencji dla sklepów internetowych korzystających z tych platform.

Podatne są liczne wersje Adobe Commerce, Magento Open Source oraz moduł Custom Attributes Serializable (wersje 0.1.0-0.4.0).

Działania Naprawcze i Ocena Ryzyka

Chociaż do tej pory nie odnotowano aktywnego wykorzystywania tej luki w praktyce, Adobe już udostępniło hotfix i wdrożyło odpowiednie reguły WAF (Web Application Firewall) dla swoich klientów chmurowych.

Firma Sansec, specjalizująca się w bezpieczeństwie e-commerce, oceniła „SessionReaper" jako jedną z najpoważniejszych luk w historii Magento, stawiając ją na równi z takimi incydentami jak Shoplift (2015), TrojanOrder (2022) czy CosmicSting (2024).

Przeczytaj również: Kompleksowy przewodnik po podatnościach zero-day oraz przegląd krytycznych podatności tygodnia.