Falha no Adobe Commerce e Magento Open Source permite ataque de account takeover

A Adobe emitiu um alerta urgente sobre uma falha de segurança crítica em suas plataformas Commerce e Magento Open Source. Identificada como CVE-2025-54236 e também conhecida como "SessionReaper", essa vulnerabilidade, se explorada com sucesso, pode permitir que hackers assumam o controle total de contas de clientes, representando um risco significativo para comerciantes e consumidores.

A Grave Vulnerabilidade "SessionReaper"

Com uma pontuação CVSS de 9.1 (de um máximo de 10.0), a CVE-2025-54236 é classificada como uma falha de validação de entrada imprópria. A Adobe afirmou não ter conhecimento de explorações ativas até o momento, mas a gravidade da vulnerabilidade exige ação imediata. "Um possível invasor pode assumir o controle de contas de clientes no Adobe Commerce por meio da API REST do Commerce", declarou a empresa em seu comunicado oficial.

A falha afeta uma vasta gama de produtos e versões, incluindo:

• Adobe Commerce (todos os métodos de implantação): 2.4.9-alpha2 e anteriores, 2.4.8-p2 e anteriores, 2.4.7-p7 e anteriores, 2.4.6-p12 e anteriores, 2.4.5-p14 e anteriores, 2.4.4-p15 e anteriores.

• Adobe Commerce B2B: 1.5.3-alpha2 e anteriores, 1.5.2-p2 e anteriores, 1.4.2-p7 e anteriores, 1.3.4-p14 e anteriores, 1.3.3-p15 e anteriores.

• Magento Open Source: 2.4.9-alpha2 e anteriores, 2.4.8-p2 e anteriores, 2.4.7-p7 e anteriores, 2.4.6-p12 e anteriores, 2.4.5-p14 e anteriores.

• Módulo serializável de atributos personalizados: Versões 0.1.0 a 0.4.0.

Além de liberar um hotfix para a vulnerabilidade, a Adobe implementou regras de firewall de aplicativo web (WAF) para proteger ambientes contra tentativas de exploração que possam ter como alvo comerciantes que utilizam a infraestrutura do Adobe Commerce on Cloud.

Um Alerta para o E-commerce

A empresa de segurança de comércio eletrônico Sansec descreveu o SessionReaper como "uma das vulnerabilidades mais graves do Magento em sua história", comparável a incidentes notórios como Shoplift (2015), Ambionics SQLi (2019), TrojanOrder (2022) e CosmicSting (2024).

A Sansec, com sede na Holanda, conseguiu reproduzir com sucesso uma forma de explorar a CVE-2025-54236, alertando que existem outras maneiras potenciais de armar essa vulnerabilidade. "A vulnerabilidade segue um padrão familiar do ataque CosmicSting do ano passado", acrescentou a empresa. "O ataque combina uma sessão maliciosa com um bug de desserialização aninhado na API REST do Magento."

Embora o vetor específico de execução remota de código pareça exigir armazenamento de sessão baseado em arquivo, a Sansec recomenda que comerciantes que usam Redis ou sessões de banco de dados também tomem medidas imediatas, dada a multiplicidade de formas de explorar essa falha.

Outra Correção Crítica no ColdFusion

Em um comunicado relacionado, a Adobe também liberou correções para uma vulnerabilidade crítica de travessia de caminho no ColdFusion (CVE-2025-54261, pontuação CVSS: 9.0). Esta falha pode levar a uma gravação arbitrária no sistema de arquivos e afeta o ColdFusion 2021 (Atualização 21 e anteriores), 2023 (Atualização 15 e anteriores) e 2025 (Atualização 3 e anteriores) em todas as plataformas. As duas correções ressaltam a importância de manter todos os sistemas e softwares atualizados para mitigar riscos de segurança.

Via - THN