CVE-2024-34102: XXE critica in Adobe Commerce con RCE

CVE-2024-34102 è una vulnerabilità XXE (XML External Entity Reference) in Adobe Commerce versioni 2.4.7, 2.4.6-p5, 2.4.5-p7, 2.4.4-p8 e precedenti. La falla consente a un attaccante di inviare documenti XML elaborati che sfruttano riferimenti a entità esterne, risultando in esecuzione arbitraria di codice sul server. Non richiede interazione da parte dell'utente, rendendola immediatamente sfruttabile e estremamente pericolosa per piattaforme e-commerce.

Il punteggio CVSS è 9,8, classificato come critica. La vulnerabilità è stata resa pubblica il 13 giugno 2024 dal National Vulnerability Database. Un elemento significativo: il 7 novembre 2026 è stata pubblicata una patch di terzi su GitHub per Magento 2.3 e 2.4, rivolta a versioni senza fix ufficiale da parte di Adobe. Questa circostanza suggerisce che molti amministratori potrebbero ancora trovarsi su versioni non protette dalla patch ufficiale di Adobe.

I difensori devono verificare immediatamente quale versione di Adobe Commerce è in esercizio. Se in uso 2.4.7 o successive, assicurare che la patch ufficiale sia stata applicata. Per versioni precedenti (2.4.4-p8, 2.4.5-p7, 2.4.6-p5 e altre), valutare l'aggiornamento ufficiale come priorità assoluta o, in caso di vincoli organizzativi temporanei, esaminare la patch di terzi disponibile come misura transitoria, mantenendo il monitoraggio attivo per una migrazione verso release supportate da Adobe.