Se ha detectado una vulnerabilidad crítica identificada en Adobe Commerce y Magento, conocida como CosmicSting. El problema está relacionado con una debilidad en el manejo de entidades externas XML (XXE), lo que permite a los atacantes realizar inyecciones maliciosas que pueden dar acceso a datos confidenciales, incluidos secretos de la API y credenciales. Este fallo ha sido registrado como CVE-2024-8570 y afecta principalmente a configuraciones expuestas y desprotegidas (desactualizadas), afectando a unos 140.000 magentos a nivel mundial.

La explotación de esta vulnerabilidad es particularmente peligrosa debido a que los atacantes pueden comprometer el sistema sin necesidad de credenciales válidas, aumentando significativamente el riesgo para negocios que dependen de estas plataformas.

Se recomienda actualizar Magento a la última versión disponible (en medida de lo posible), revisar configuraciones de la API, y reforzar controles de acceso para mitigar riesgos futuros. 

Las versiones afectadas de Magento serían las siguientes:

· 2.0.x
· 2.1.x
· 2.2.x
· 2.3.x
· 2.4.0 hasta 2.4.4-p9
· 2.4.5 hasta 2.4.5-p8
· 2.4.6 hasta 2.4.6-p6
· 2.4.7 y 2.4.7-p1

Por parte de Adobe, han realizado una guía sobre los pasos a seguir ante esta vulnerabilidad:
https://experienceleague.adobe.com/en/docs/commerce-knowledge-base/kb/troubleshooting/known-issues-patches-attached/security-update-available-for-adobe-commerce-apsb24-40-revised-to-include-isolated-patch-for-cve-2024-34102

Puedes ver más detalles en:
https://www.splunk.com/en_us/blog/security/cosmicsting-a-critical-xxe-vulnerability-in-adobe-commerce-and-magento.html
https://magento.stackexchange.com/questions/375136/api-keeps-getting-hacked-how-is-it-still-compromised

Te recordamos también unos consejos mas genéricos de seguridad:
https://okitup.com/blog/como-mejorar-la-seguridad-de-nuestro-sitio-web/