CVE-2025-54236: presente nel catalogo CISA KEV

CVE-2025-54236 · CVSS 9.1 CRITICAL · EPSS 95% · KEV 2025-10-24

Adobe Commerce versions 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 and earlier are affected by an Improper Input Validation vulnerability. A successful attacker can abuse this to achieve session takeover, increasing the confidentiality, and integrity impact to high. Exploitation of this issue does not require user interaction.

CVE-2025-54236 viene sfruttato?

• Inserito nel catalogo CISA KEV il 2025-10-24.
• Scadenza di remediation federale: 2025-11-14.
• Oltre quella data da 347 giorni.
• EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 95%.
• Codice di exploit pubblico: integrato in uno strumento pubblico.
• Esistono regole di detection pubbliche.

Quali prodotti e versioni sono interessati?

• Adobe · Adobe Commerce · 0 - 2.4.4-p15
• adobe · commerce b2b · 1.3.3, 1.3.4, 1.4.2, 1.5.2, 1.5.3
• adobe · magento · 2.4.5, 2.4.6, 2.4.7, 2.4.8, 2.4.9

Esiste una patch?

Il record di Adobe non indica una versione corretta.

Advisory di Adobe

Cosa ha pubblicato PlainSec su CVE-2025-54236

• Magento loaders evade scans on previously infected stores (2026-10-26)

Fonti primarie

• NVD record
• CISA KEV catalog
• Adobe advisory
• Metasploit: exploit/multi/http/magento_sessionreaper
• Nuclei template

Cosa questa scheda non dice

• Nessun identificativo di patch.

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-10-26.