BDU:2026-06649

Средний

BDU:2026-06649: Уязвимость программных платформ для разработки и управления онлайн магазинами Magento Open Source, Adobe Commerce и Adobe Commerce B2B, связанная с недостатками процедуры авторизации, позволяющая нарушителю обойти существующие механизмы безопасности

CVSS v34.3

CVSS v25.0

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость программных платформ для разработки и управления онлайн магазинами Magento Open Source, Adobe Commerce и Adobe Commerce B2B связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти существующие механизмы безопасности

Что делать с BDU:2026-06649

Уязвимость среднего уровня (CVSS 4.3) — устраните в рамках планового цикла обновлений. Срок задаёт внутренний регламент организации (п. 38 приказа ФСТЭК № 117). Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

4.3Средний

Пересчитать →

5.0

Только просмотр

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:NAV:N/AC:L/Au:N/C:N/I:P/A:N

CWE — тип уязвимости

CWE-285

CVE — международный идентификатор

CVE-2026-34656

APSB26-49

CWE-285

Некорректная авторизация

CWE-285 — некорректная авторизация: программа не выполняет проверку прав или проверяет их неверно при доступе к ресурсу. Типичный сценарий — веб-приложение сверяет роль в интерфейсе, а прямой вызов API или чтение чужой записи проходит без проверки на сервере. Злоумышленник получает чужие записи и недоступные функции, расширяя круг своих полномочий.

Тактики и техники

Нарушение авторизации

Уязвимое ПО (15)

Вендор	Название	Версия	Платформа
Adobe Systems Inc.	Magento Open Source	2.4.9-beta1	Не указана
Adobe Systems Inc.	Magento Open Source	до 2.4.8-p4 включительно	Не указана
Adobe Systems Inc.	Magento Open Source	до 2.4.7-p9 включительно	Не указана
Adobe Systems Inc.	Magento Open Source	до 2.4.6-p14 включительно	Не указана
Adobe Systems Inc.	Adobe Commerce	2.4.9-beta1	Не указана
Adobe Systems Inc.	Adobe Commerce	до 2.4.8-p4 включительно	Не указана
Adobe Systems Inc.	Adobe Commerce	до 2.4.7-p9 включительно	Не указана
Adobe Systems Inc.	Adobe Commerce	до 2.4.6-p14 включительно	Не указана
Adobe Systems Inc.	Adobe Commerce	до 2.4.5-p16 включительно	Не указана
Adobe Systems Inc.	Adobe Commerce	до 2.4.4-p17 включительно	Не указана
Adobe Systems Inc.	Adobe Commerce B2B	1.5.3-beta1	Не указана
Adobe Systems Inc.	Adobe Commerce B2B	до 1.5.2-p4 включительно	Не указана
Adobe Systems Inc.	Adobe Commerce B2B	до 1.4.2-p9 включительно	Не указана
Adobe Systems Inc.	Adobe Commerce B2B	до 1.3.4-p16 включительно	Не указана
Adobe Systems Inc.	Adobe Commerce B2B	до 1.3.3-p17 включительно	Не указана

Источники (1)

https://helpx.adobe.com/security/products/magento/apsb26-49.html

SLA ФСТЭК №117

По регламенту

по базовой оценке CVSS 4.3

Уточните SLA под вашу среду

Базовый балл 4.3 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать

Низкий текущий риск. Устраните при плановом обновлении.

EPSS — вероятность эксплуатации0.4%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2026-05-12

Опубликована

2026-05-13

Обновлена

2026-05-13

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

Уязвимости → активы → ответственные — цепочка за минуту
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2026-34656 MITRE: CWE-285 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК