XXE can expose crypt key and other secrets granting full admin access

Adobe Commerce tem uma falha que permite que atacantes enviem arquivos XML especialmente preparados para expor segredos sensíveis, como chaves de criptografia, e obtenham acesso total de administrador à loja. Isso acontece automaticamente sem necessidade de interação do usuário.

Uma vulnerabilidade XXE (XML External Entity) em versões afetadas do Adobe Commerce (2.4.7, 2.4.6-p5, 2.4.5-p7, 2.4.4-p8 e anteriores) permite que atacantes remotos não autenticados leiam arquivos arbitrários e extraiam chaves criptográficas através de payloads XML malformados submetidos a endpoints vulneráveis. A exploração bem-sucedida concede privilégios administrativos e possível execução de código sem requerer ação ou autenticação do usuário.