Magento-Sicherheitsupdate Juni 2025: CVE-2025-47110 und APSB25-50
Adobe hat im Juni 2025 mit APSB25-50 mehrere Lücken in Magento 2 geschlossen, darunter CVE-2025-47110. Betroffene Versionen, Updates und was die Lücke voraussetzt.
Am 10. Juni 2025 hat Adobe das Sicherheitsbulletin APSB25-50 für Magento 2 und Adobe Commerce veröffentlicht. Es schließt mehrere Lücken, darunter die kritisch bewertete CVE-2025-47110. Adobe waren zum Zeitpunkt der Veröffentlichung keine Angriffe bekannt.
Was ist CVE-2025-47110?
Ein Angreifer kann über bestimmte Formularfelder im Backend Skriptcode speichern, der später im Browser anderer Nutzer ausgeführt wird (Stored XSS über Template-Injection). Dafür braucht er allerdings bereits ein Admin-Konto mit hohen Rechten. Die Lücke ist also vor allem dann gefährlich, wenn ein Admin-Zugang kompromittiert ist oder mehrere Personen mit unterschiedlichem Vertrauen Zugriff auf das Backend haben.
Betroffene Versionen und Updates
- 2.4.8 → 2.4.8-p1
- 2.4.7-p5 und älter → 2.4.7-p6
- 2.4.6-p10 und älter → 2.4.6-p11
- 2.4.5-p12 und älter → 2.4.5-p13
- 2.4.4-p13 und älter → 2.4.4-p14
Für CVE-2025-47110 gibt es zusätzlich einen isolierten Patch, der sich ohne vollständiges Update einspielen lässt.
Was ich empfehle
- Das passende Update in den nächsten Tagen einspielen, nach einem Test auf Staging
- Admin-Konten aufräumen: nur so viele wie nötig, mit eigenen Zugängen statt geteilter Passwörter
- Zwei-Faktor-Anmeldung für das Backend aktiv lassen und den Admin-Pfad nicht öffentlich verlinken
Wenn Sie Unterstützung beim Update brauchen, schreiben Sie mir.
Quelle: Adobe APSB25-50. Stand: Juni 2025.