PT-2026-111800
CVE-2026-103849
·
تاريخ النشر
2026-10-13
·
تاريخ التحديث
2026-10-25
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Adobe Commerce الإصدارات 2.4.4 through 2.4.9 (قبل إصدارات الأمان في أكتوبر 2026)
Adobe Commerce B2B الإصدارات 1.3.x through 1.5.x
Magento Open Source الإصدارات 2.4.6 through 2.4.9 (قبل إصدارات الأمان في أكتوبر 2026)
Description
يؤدي عدم تحييد العناصر الخاصة المستخدمة في محرك القوالب بشكل صحيح، وتحديداً في إضافة BlockStrap لبناء الصفحات، إلى السماح للمهاجمين عن بُعد غير المصرح لهم بإجراء حقن للقوالب. تتيح هذه الثغرة تنفيذ رمز PHP تعسفي على الخادم الأساسي دون الحاجة إلى تفاعل من المستخدم أو امتلاك صلاحيات إدارية. يمكن أن يؤدي الاستغلال الناجح إلى اختراق كامل للخادم، بما في ذلك تسريب البيانات، ونشر webshell، والتحرك الجانبي داخل بيئة التجارة الإلكترونية. يتم تنفيذ الهجوم عبر نقاط نهاية API الخاصة بالإضافة.
Recommendations
تحديث Adobe Commerce إلى إصدارات الأمان المقابلة لشهر أكتوبر 2026 (الفروع 2.4.4-2026-oct through 2.4.9-2026-oct).
تحديث Adobe Commerce B2B إلى الإصدار المصحح المناسب.
تحديث Magento Open Source إلى إصدار الأمان المقابل لشهر أكتوبر 2026.
كإجراء تخفيف مؤقت، قم بتعطيل أو إزالة إضافة BlockStrap.
تقييد الوصول الخارجي إلى نقاط نهاية API الخاصة بإضافة BlockStrap باستخدام جدار حماية تطبيقات الويب (WAF) أو تكوينات مستوى الخادم.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾