WSO2 和 Adobe Commerce 漏洞在攻击中被利用，已加入 CISA KEV

美国网络安全和基础设施安全局 (CISA) 于周四将影响 WSO2 和 Adobe Commerce 及 Magento 的两个关键安全漏洞添加到其已知被利用漏洞 (KEV) 目录中，基于活跃利用的证据。

漏洞如下所示 -

CVE-2026-5430 (CVSS 分数：9.8) - WSO2 API 控制平面、API 管理器、流量管理器和通用网关中的路径遍历漏洞，可能允许不受限制的文件上传并导致远程代码执行。

CVE-2026-71362 (CVSS 分数：9.1) - Adobe Commerce 和 Magento 中的错误授权漏洞，可能允许攻击者利用此漏洞在没有任何用户交互的情况下获得对敏感资源的提升访问权限。

CVE-2026-5430 被添加到 KEV 中，距离 watchTowr 表示自 2026 年 9 月 13 日以来在其蜜罐中看到的野外利用活动仅过去了一周多。

至于 CVE-2026-71362，Sansec 在 2026 年 8 月指出，它已检测并阻止了针对该漏洞的利用尝试。

“该漏洞使攻击者能够将客户会话切换到另一个客户账户，”这家荷兰电子商务安全公司表示。“这使他们能够访问受害者的账户和私人客户数据。”

Previdian 的遥测数据显示，2026 年 9 月 10 日，一台来自澳大利亚的孤立 IP 地址试图利用针对其蜜罐传感器的漏洞。Adobe 尚未更新其公告以确认利用状态。

联邦平民执行机构 (FCEB) 建议在 2026 年 9 月 27 日之前为这两个漏洞应用修复，以保护其网络免受活跃威胁。

觉得这篇文章有趣吗？请在 Google 新闻、Twitter 和 LinkedIn 上关注我们，阅读更多我们发布的独家内容。

相关漏洞

CVE-2026-71362 CVSS 9.1 CRITICAL Analyzed

CVE-2026-71362 - Adobe Commerce and Magento Incorrect Authorization Vulnerability - [Actively Exploited]

Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in privilege escalation. An attacker could leverage this vulnerability to gain elevated access to sensitive resources. Exploitation of this issue does not require user interaction.

CVE-2026-5430 CVSS 10 CRITICAL Analyzed

CVE-2026-5430 - WSO2 Multiple Products Path Traversal Vulnerability - [Actively Exploited]

The JWT authentication mechanism accepts tokens signed with algorithms other than those explicitly configured or supported. This allows an attacker to craft a JWT with an unsupported algorithm, which is then incorrectly validated, leading to unauthorized access. Successful exploitation of this vulnerability may result in unauthorized access to the system, including the potential compromise of administrative accounts and full account takeover. The CVSS score is adjusted to 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) in single-tenant deployments, reflecting that the impact is contained within a single security authority boundary.

WSO2 和 Adobe Commerce 漏洞在攻击中被利用，已加入 CISA KEV

相关漏洞

更多来自 The Hacker News