CVE-2024-20720

Adobe Commerce versões 2.4.6-p3, 2.4.5-p5, 2.4.4-p6 e anteriores

O problema está relacionado à neutralização inadequada de elementos especiais usados em um comando do sistema operacional, o que poderia levar à execução de código arbitrário por um invasor. Essa vulnerabilidade permite que agentes maliciosos introduzam um backdoor persistente em sites de comércio eletrônico e implantem skimmers para roubar dados financeiros. A exploração desse problema não requer interação do usuário. Foi relatado que hackers estão explorando essa falha para roubar dados de pagamento de sites de comércio eletrônico, com alvos estimados incluindo mais de 139.817 sites, distribuídos principalmente nos Estados Unidos, na Alemanha e em outros países. Seis cibercriminosos foram acusados de roubar dados de 160.000 cartões por meio dessa vulnerabilidade.

Para as versões 2.4.6-p3, 2.4.5-p5, 2.4.4-p6 e anteriores do Adobe Commerce: atualize para as versões 2.4.6-p4, 2.4.5-p6 ou 2.4.4-p7 do Magento para evitar a exploração. Como solução alternativa temporária, considere restringir o acesso a módulos ou funções vulneráveis para minimizar o risco de exploração. Evite usar endpoints ou parâmetros de API vulneráveis até que o problema seja resolvido.