つみかさね

CVE-2026-21290

High(8.7)

Adobe Commerce(Magento)の格納型XSS CVE-2026-21290：影響範囲と対応方法

公開日: 2026-08-29データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Adobe Commerce (Magento)Adobe2.4.9-alpha3 / 2.4.8-p3 / 2.4.7-p8 ほか およびそれ以前

対応ガイド

high|推奨セキュリティ修正影響: 広範

推奨アクション

  1. 1bin/magento --version でバージョンを確認する
  2. 2APSB26-05 の修正版へアップデートする
  3. 3管理画面へアクセスできる低権限アカウントを棚卸しし権限を見直す

影響対象

Adobe Commerce / Magento 運用者

対応不要な人

  • ✓Adobe Commerce / Magentoを使用していない
  • ✓既に APSB26-05 の修正版へアップデート済み

補足

  • -悪用には低権限アカウントと被害者のページ閲覧が必要です
CVEAdobe CommerceMagentoXSSEC

30秒で判断

  • 対応すべき人: Adobe Commerce / Magento（2.4.9-alpha3、2.4.8-p3、2.4.7-p8 ほかそれ以前）を運用するECサイト管理者
  • 対応不要な人: Adobe Commerce / Magentoを使用していない、または既に APSB26-05 の修正版へ更新済みの方
  • 確認コマンド: bin/magento --version でバージョンを確認
  • クイックアクション: Adobe Security Bulletin APSB26-05 の修正版へアップデート

概要

Adobe Commerce（Magento）に格納型クロスサイトスクリプティング（XSS）の脆弱性があります。低権限の攻撃者が脆弱なフォームフィールドに悪意あるスクリプトを注入でき、被害者が該当フィールドを含むページを閲覧した際に、そのブラウザ上で JavaScript が実行される可能性があります。

これによりセッションの乗っ取りが可能となり、機密性・完全性への影響が高くなります。悪用には、被害者が脆弱なフィールドを含むページを閲覧するというユーザー操作が必要です。

CVSSスコアは 8.7（High）、CWEは CWE-79（クロスサイトスクリプティング）に分類されています。

CVSSベクトル

項目値
CVSSスコア8.7
深刻度High
CWECWE-79
前提条件低権限アカウント + ユーザー操作が必要

影響を受けるソフトウェア

製品ベンダー影響バージョン
Adobe Commerce (Magento)Adobe2.4.9-alpha3 / 2.4.8-p3 / 2.4.7-p8 / 2.4.6-p13 / 2.4.5-p15 / 2.4.4-p16 およびそれ以前

修正バージョンと回避策

Adobe Security Bulletin APSB26-05 の修正版へアップデートしてください。あわせて管理画面へアクセスできる低権限アカウントの棚卸しと権限見直しを行うことで、悪用の前提となる足がかりを減らせます。

関連リンク

ソースURL
NVDhttps://nvd.nist.gov/vuln/detail/CVE-2026-21290
Adobehttps://helpx.adobe.com/security/products/magento/apsb26-05.html

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-21290
Adobe:https://helpx.adobe.com/security/products/magento/apsb26-05.html
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。