CVE-2024-34102criticalbajo ataqueCWE-611

CVE-2024-34102: fallo crítico en Adobe Commerce

XXE can expose crypt key and other secrets granting full admin access

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Adobe Commerce+ Monitorear Magento Open Source

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene exploit funcional público.

ssvc Actcvss 9.8epss 100%
de la publicación al arma14 días
Publicada en NVD13 jun
1ª PoC+14d
metasploit11 jun
CISA KEV+34d
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Acción exigida por CISAplazo federal: 2024-08-07

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Adobe Commerce tiene una falla que permite a los atacantes enviar archivos XML especialmente preparados para exponer secretos sensibles, como claves de cifrado, y obtener acceso administrativo completo a la tienda. Esto ocurre automáticamente sin necesidad de interacción del usuario.

Detalle técnico

Una vulnerabilidad XXE (XML External Entity) en versiones afectadas de Adobe Commerce (2.4.7, 2.4.6-p5, 2.4.5-p7, 2.4.4-p8 y anteriores) permite que atacantes remotos no autenticados lean archivos arbitrarios y extraigan claves criptográficas mediante payloads XML malformados enviados a endpoints vulnerables. La explotación exitosa otorga privilegios administrativos y posible ejecución de código sin requerir acción o autenticación del usuario.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Adobe Commerce versions 2.4.7, 2.4.6-p5, 2.4.5-p7, 2.4.4-p8 and earlier are affected by an Improper Restriction of XML External Entity Reference ('XXE') vulnerability that could result in arbitrary code execution. An attacker could exploit this vulnerability by sending a crafted XML document that references external entities. Exploitation of this issue does not require user interaction.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Adobe · Adobe Commerce
PoCs públicas encontradas — 41
githubgithub.com/Chocapikk/CVE-2024-34102★ 48githubgithub.com/bigb0x/CVE-2024-34102★ 31githubgithub.com/th3gokul/CVE-2024-34102★ 14githubgithub.com/jakabakos/CVE-2024-34102-CosmicSting-XXE-in-Adobe-Commerce-and-Magento★ 9githubgithub.com/bughuntar/CVE-2024-34102★ 5githubgithub.com/EQSTLab/CVE-2024-34102★ 4githubgithub.com/11whoami99/CVE-2024-34102★ 3githubgithub.com/0x0d3ad/CVE-2024-34102★ 2githubgithub.com/wubinworks/magento2-cosmic-sting-patch★ 1githubgithub.com/Phantom-IN/CVE-2024-34102★ 1githubgithub.com/nmmorette/CVE-2024-34102★ 1githubgithub.com/Kento-Sec/CVE-2024-34102★ 0githubgithub.com/russellwork2021-lgtm/cosmicsting-cve-2024-34102-exploit★ 0githubgithub.com/SamJUK/cosmicsting-validator★ 0githubgithub.com/d0rb/CVE-2024-34102★ 0githubgithub.com/cmsec423/CVE-2024-34102★ 0githubgithub.com/cmsec423/Magento-XXE-CVE-2024-34102★ 0githubgithub.com/ArturArz1/TestCVE-2024-34102★ 0githubgithub.com/unknownzerobit/poc★ 0githubgithub.com/crynomore/CVE-2024-34102★ 0githubgithub.com/dream434/CVE-2024-34102★ 0githubgithub.com/bka/magento-cve-2024-34102-exploit-cosmicstring★ 0githubgithub.com/wubinworks/magento2-encryption-key-manager-cli★ 0githubgithub.com/Koray123-debug/CVE-2024-34102★ 0vulncheckvulncheck.com/xdb/68297a933a3cno verificadovulncheckvulncheck.com/xdb/62c07de93469no verificadovulncheckvulncheck.com/xdb/e10072b9959ano verificadovulncheckvulncheck.com/xdb/e16ac34e34d7no verificadovulncheckvulncheck.com/xdb/f7ec53083d00no verificadovulncheckvulncheck.com/xdb/56d612cb301bno verificadovulncheckvulncheck.com/xdb/b740eaf30da0no verificadovulncheckvulncheck.com/xdb/ff651d9ccadfno verificadovulncheckvulncheck.com/xdb/b9a5654f364dno verificadovulncheckvulncheck.com/xdb/2eb4d44dc79bno verificadovulncheckvulncheck.com/xdb/18320f3f459cno verificadovulncheckvulncheck.com/xdb/771b0f9ad8b9no verificadovulncheckvulncheck.com/xdb/31319adbe12ano verificadovulncheckvulncheck.com/xdb/60b0937b5f4fno verificadovulncheckvulncheck.com/xdb/dc00179a0cb9no verificadovulncheckvulncheck.com/xdb/034f54dfbdb8no verificadovulncheckvulncheck.com/xdb/b5758629a4e6no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Adobe Commerce

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-54236CRITICALAdobe Commerce | Improper Input Validation (CWE-20)EPSS 95.4%KEVCVE-2026-71362CRITICALAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 90.5%KEVCVE-2026-75650CRITICALAdobe Commerce | Improper Neutralization of Special Elements Used in a Template Engine (CWE-1336)EPSS 3.9%KEVCVE-2026-48356CRITICALAdobe Commerce | Unrestricted Upload of File with Dangerous Type (CWE-434)EPSS 44.6%CVE-2026-34648HIGHAdobe Commerce | Uncontrolled Resource Consumption (CWE-400)EPSS 21.4%CVE-2025-24434CRITICALAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 17.2%