Adobe Commerce: carregamento de ficheiros de tipo perigoso permite execução de código
O Adobe Commerce tem uma falha de carregamento de ficheiros sem restrição de tipo que pode levar à execução de código no contexto do utilizador afetado, se a vítima abrir um URL manipulado. Consta do catálogo KEV da CISA. CVSS 9,3.
- Identificador: CVE-2026-48356
- Publicado em: 2026-07-14
- Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 9.3 (CRITICAL)
Descrição (texto original em inglês):
Adobe Commerce is affected by an Unrestricted Upload of File with Dangerous Type vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnicas MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application); T1204.001, Execução pelo utilizador: ligação maliciosa (User Execution: Malicious Link)
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (helpx.adobe.com)helpx.adobe.com
- Referência (sansec.io)sansec.io
- Referência (sansec.io)sansec.io
- Técnica MITRE ATT&CK T1190attack.mitre.org
- Técnica MITRE ATT&CK T1204.001attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.