CVE-2025-54236: Session Takeover su Adobe Commerce

CVE-2025-54236 è una vulnerabilità di improper input validation che colpisce Adobe Commerce nelle versioni 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 e precedenti. La falla consente a un attaccante di effettuare un session takeover, compromettendo confidenzialità e integrità dei dati. Non richiede interazione dell'utente, rendendola particolarmente pericolosa in ambienti di produzione.

La gravità è dichiarata critical con CVSS 9,1. Il CVE è stato pubblicato il 9 settembre 2025. Nota rilevante: segnali su GitHub del 7 novembre 2026 indicano che esiste una patch di sicurezza gratuita (Big Cart Energy) per versioni Magento 2.3 e 2.4 che non hanno un fix ufficiale Adobe, confermando che alcune versioni rimangono non coperte. Questo suggerisce che la vulnerabilità rimane attiva in ambienti con release abbandonate.

Verificate immediatamente quale versione di Adobe Commerce è in produzione. Se utilizza 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 o precedenti, applicate il patch ufficiale Adobe non appena disponibile. Per versioni non coperte da patch ufficiali, valutate la soluzione comunitaria disponibile su GitHub. Monitorate gli accessi alle sessioni utente e verificate che il Web API input processor sia configurato correttamente secondo le linee guida di sicurezza Adobe.