CVE-2025-54236

Суть уязвимости

Уязвимость CVE-2025-54236 в Adobe Commerce и Magento Open Source связана с некорректной проверкой входных данных (Improper Input Validation) при обработке запросов к Commerce REST API.

• Вектор атаки: Злоумышленник отправляет специально сформированные вредоносные запросы к эндпоинтам REST API, отвечающим за управление пользователями (например, сброс пароля, обновление профиля или авторизация).
• Механика: Из-за недостаточной фильтрации и валидации параметров (payload), система некорректно обрабатывает данные, что позволяет обойти механизмы аутентификации.
• Последствия: Полная компрометация учетных записей покупателей (Account Takeover - ATO). Злоумышленник может получить доступ к личным данным клиентов, истории заказов, сохраненным платежным методам и совершать мошеннические действия от их имени.

Как исправить

Единственным надежным способом устранения данной уязвимости является установка официального патча от Adobe или обновление платформы до актуальной безопасной версии.

1. Создайте резервную копию базы данных и файлов проекта перед началом работ.
2. Переведите магазин в режим обслуживания, чтобы избежать потери данных клиентов во время обновления:

bin/magento maintenance:enable

1. Обновите пакеты Magento через Composer до версии, содержащей исправление (замените <patched_version> на актуальную безопасную версию согласно бюллетеню безопасности Adobe):

composer require magento/product-community-edition:<patched_version> --no-update

1. Запустите процесс обновления зависимостей:

composer update

1. Примените обновления базы данных и схемы:

bin/magento setup:upgrade

1. Выполните компиляцию зависимостей (DI):

bin/magento setup:di:compile

1. Разверните статический контент:

bin/magento setup:static-content:deploy -f

1. Очистите и сбросьте кэш приложения:

bin/magento cache:clean

bin/magento cache:flush

1. Отключите режим обслуживания:

bin/magento maintenance:disable

Временные меры

Если немедленное обновление или установка патча невозможны, необходимо внедрить компенсирующие контроли для снижения риска эксплуатации:

• Настройка WAF (Web Application Firewall): Внедрите строгие правила фильтрации для всех запросов к /rest/V1/customers/ и связанным эндпоинтам. Настройте блокировку запросов, содержащих аномальные символы, неожиданные типы данных (например, массивы там, где ожидаются строки) или превышающих стандартный размер payload.
• Ограничение частоты запросов (Rate Limiting): Настройте жесткие лимиты на количество запросов к API аутентификации и сброса паролей с одного IP-адреса, чтобы предотвратить автоматизированные атаки (brute-force и credential stuffing).
• Мониторинг и алертинг (SIEM): Настройте оповещения на аномальную активность в логах веб-сервера и приложения. Обращайте внимание на массовые запросы к REST API, возвращающие ошибки 400 (Bad Request) или 500 (Internal Server Error), а также на всплески успешных авторизаций с подозрительных IP-адресов.
• Ограничение доступа к API: Если Commerce REST API используется только для внутренних интеграций (например, ERP или PIM), ограничьте доступ к эндпоинтам API на уровне веб-сервера (Nginx/Apache) только для доверенных IP-адресов.