江苏
关键词
安全漏洞
电商安全公司 Sansec 警告称，黑客正在利用 Adobe Commerce 和 Magento Open Source 平台中一个新披露的高危漏洞发起攻击，仅在过去 24 小时内就有超过 250 家商店受到入侵尝试。
该漏洞编号为 CVE-2025-54236，CVSS 评分为 9.1，属于严重的输入验证不当问题，攻击者可通过 Commerce REST API 接管客户账户。该漏洞又被称为 “SessionReaper”，由安全研究员 Blaklis 发现并负责任地披露，Adobe 已于上月发布补丁修复。
然而，据荷兰公司 Sansec 表示，在漏洞公开六周后，仍有约 62% 的 Magento 商店未打补丁，存在被入侵的高风险。攻击主要来自多个未知威胁行为者，他们利用漏洞上传 PHP webshell 或执行 phpinfo 命令以提取服务器配置信息，常见的攻击来源 IP 包括
34.227.25[.]4、44.212.43[.]34、54.205.171[.]35、155.117.84[.]134 和 159.89.12[.]166。
Sansec 指出，黑客通过“/customer/address_file/upload”路径伪装会话上传后门文件。
与此同时，Searchlight Cyber 发布了对 CVE-2025-54236 的详细技术分析，指出该漏洞属于嵌套反序列化缺陷，可能被用于远程执行代码。值得注意的是，这已是两年内第二次影响 Adobe Commerce 和 Magento 平台的反序列化漏洞。早在 2024 年 7 月，编号为 CVE-2024-34102、代号 “CosmicSting” 的漏洞（CVSS 评分 9.8）就曾被广泛利用。
安全圈
网罗圈内热点 专注网络安全
实时资讯一手掌握！
好看你就分享 有用就点个赞
支持「安全圈」就点个三连吧！
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
