Aktywnie wykorzystywana w atakach
Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability
Adobe - Commerce and Magento · Figuruje w katalogu CISA KEV od 2026-10-27. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
CVE-2026-48356
KrytyczneCVSS 9.3KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Adobe Commerce zawiera podatność polegającą na nieograniczonym przesyłaniu plików o niebezpiecznym typie, co może prowadzić do zdalnego wykonania kodu w kontekście bieżącego użytkownika. Atakujący może uzyskać podwyższone uprawnienia lub przejąć kontrolę nad kontem lub sesją ofiary. Wykorzystanie luki wymaga interakcji użytkownika, np. odwiedzenia spreparowanego adresu URL lub interakcji z zainfekowaną stroną.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość przejęcia kont użytkowników i eskalacji uprawnień, co może prowadzić do kradzieży danych, modyfikacji treści lub dalszych ataków na systemy.
Rekomendacja
Zaleca się natychmiastową aktualizację Adobe Commerce do najnowszej dostępnej wersji, która zawiera poprawkę eliminującą tę podatność. Należy również ograniczyć możliwość przesyłania plików przez niezaufanych użytkowników.
Inne podatności w Adobe Commerce
Zobacz wszystkie- CVE-2026-92909Krytyczne
Adobe Commerce jest podatny na nieprawidłową autoryzację, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Eksploatacja nie wymaga interakcji użytkownika.
- CVE-2026-92464Krytyczne
Adobe Commerce jest podatny na nieprawidłową walidację danych wejściowych, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność bez interakcji użytkownika.
- CVE-2026-91013Krytyczne
Adobe Commerce jest podatny na trwały atak Cross-Site Scripting (XSS), który może zostać wykorzystany do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary, potencjalnie prowadząc do uzyskania podwyższonego dostępu lub przejęcia konta.
- CVE-2026-103849Krytyczne
Adobe Commerce jest dotknięte podatnością związaną z nieprawidłową neutralizacją specjalnych elementów w silniku szablonów, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika, potencjalnie umożliwiając uzyskanie podwyższonego dostępu lub kontroli nad kontem lub sesją ofiary. Eksploatacja nie wymaga interakcji użytkownika. Zakres jest zmieniony.
- CVE-2026-100133Krytyczne
Adobe Commerce jest dotknięty podatnością na trwały Cross-Site Scripting (XSS), która może być wykorzystana przez atakującego do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole, potencjalnie uzyskując podwyższony dostęp lub kontrolę nad kontem lub sesją ofiary. Zakres jest zmieniony.
- CVE-2026-76201Krytyczne
Adobe Commerce jest dotknięty podatnością przechowywanego XSS, która może być wykorzystana przez atakującego do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole, potencjalnie prowadząc do uzyskania podwyższonego dostępu lub kontroli nad kontem lub sesją ofiary. Zakres ataku jest zmieniony.
- CVE-2026-76200Krytyczne
Adobe Commerce jest dotknięty podatnością przechowywanego XSS, która może być wykorzystana przez atakującego do wstrzyknięcia złośliwych skryptów do podatnych pól formularza. Złośliwy JavaScript może zostać wykonany w przeglądarce ofiary podczas przeglądania strony zawierającej podatne pole, potencjalnie prowadząc do uzyskania podwyższonego dostępu lub kontroli nad kontem lub sesją ofiary. Zakres ataku jest zmieniony.
- CVE-2026-75650KrytyczneAktywnie exploitowane
Adobe Commerce jest dotknięty podatnością polegającą na nieprawidłowej neutralizacji specjalnych elementów używanych w silniku szablonów, co może skutkować wykonaniem dowolnego kodu w kontekście bieżącego użytkownika. Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu. Eksploatacja nie wymaga interakcji użytkownika. Zakres jest zmieniony.
- CVE-2026-71362KrytyczneAktywnie exploitowane
Adobe Commerce jest dotknięty podatnością nieprawidłowej autoryzacji, która może skutkować eskalacją uprawnień. Atakujący może wykorzystać tę podatność do uzyskania podwyższonego dostępu do wrażliwych zasobów. Eksploatacja tego problemu nie wymaga interakcji użytkownika.
- CVE-2026-48358Krytyczne
Adobe Commerce zawiera podatność polegającą na nieprawidłowym kodowaniu lub escapowaniu danych wyjściowych, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę lukę bez interakcji z użytkownikiem. Zakres podatności uległ zmianie.
Oryginalny opis (angielski, źródło NVD)
Adobe Commerce is affected by an Unrestricted Upload of File with Dangerous Type vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS